Zapisi DNS rezolvera nasuprot zapisima VPN veze: što svaki sadrži

Zapis DNS rezolvera i zapis VPN veze oba su mrežni zapisi, oba korisna i nisu zamjenjivi. Rezolver prima imena na koja je zatražen da odgovori. VPN krajnja točka obrađuje tunelske veze i bilježi ono što je njena implementacija odlučila zabilježiti o njima. Mogu biti u istoj zgradi, njima može upravljati isti tim i mogu potpadati pod istu obavijest o privatnosti, a ipak opisuju različite događaje s različitim identifikatorima i različitim rokovima čuvanja. Čitanje jednog kao da je drugi jest način na koji istrage skrenu s puta.

Dva zapisa, dva događaja

Unos u rezolveru odgovara na pitanje o imenovanju: ovaj klijent je zatražio ovo ime u ovo vrijeme, a odgovor je bio ovaj. Unos u VPN-u odgovara na pitanje o povezanosti: ovaj peer je uspostavio ili izgubio tunel, dobio je ovu adresu i prenio otprilike ovoliko podataka prije nego što je nestao. Nijedan nije zapis o tome što je korisnik radio unutar HTTPS sesije i nijedan ne zamjenjuje drugi.

Razlika ima praktičnu posljedicu za obećanja. Tvrdnja da VPN provajder ne bilježi aktivnost tunela ne govori ništa o rezolveru koji daje, a politika čuvanja rezolvera ne govori ništa o tome ko se povezao na tunel. Svaka tvrdnja pripada svom operatoru i svom sistemu.

Pratite upit prije nego što pročitate bilo koji zapis

Upit stiže do rezolvera samo ako ga putanja zaista pita. Aplikacija može koristiti rezolver operativnog sistema, pokrenuti vlastiti šifrovani DNS klijent ili pročitati keširani odgovor i nikada ništa ne poslati. Zato zapis rezolvera koji ne pokazuje ništa nije dokaz da ime nikada nije korišćeno; to je dokaz da ovaj rezolver nije bio pitan.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Ta posljednja komanda čita vlastiti dnevnik lokalnog rezolvera, što nije isto što i zapis nadređenog servera. Ako vaši upiti izlaze kroz DNS over HTTPS do provajdera, lokalni stub može ne pokazati ništa dok provajder ima kompletan zapis, a provajder je drugi operator s drugom politikom.

Šta svaki zapis može i ne može pokazati

Spajanje je pravi posao i spajanje nije uvijek moguće. Rezolver koji bilježi adrese klijenata može se uporediti s VPN-om koji dodjeljuje adrese iz poznatog pula, a to poređenje stvara vjerovatnu vezu između upitanog imena i tunela, koja ostaje veza između dva zapisa, a ne zapis o osobi.

Šifrovani DNS mijenja transport, ne vidljivost na krajnjoj tački. Rezolver i dalje prima pitanje na koje odgovara, kako RFC 8484 jasno pokazuje, a čuvanje u tom rezolveru je odluka politike, a ne svojstvo protokola.

Gdje podijeljeni DNS i keševi zbunjuju priču

Više rezolvera je normalno. Dizajn s podijeljenim DNS-om šalje interna imena internom serveru, a sve ostalo javnom, pa jedna istraga može uključivati dva zapisa koji nikada nisu bili namijenjeni kombinovanju i dvije postavke čuvanja koje nikada nisu bile namijenjene poređenju. Viđenje upita na oba dokaz je da dizajn radi, a ne dokaz curenja.

Keševi režu u drugom smjeru. Popularno ime može se satima odgovarati iz keša, pa zapis rezolvera pokazuje prvi upit i zatim ništa, dok aplikacija korisnika mirno nastavlja razrješavati isto ime. Odsustvo unosa nakon određenog vremena ne znači da niko nije koristio ime nakon tog vremena.

Pozadinski saobraćaj je treće izobličenje. Telefon koji pri podizanju razrješava ime telemetrije, pregledač koji razrješava domen prijedloga pretrage i program za ažuriranje koji se javlja svakog sata svi se pojavljuju u zapisu rezolvera uz ime do kojeg vam je zaista stalo. Obim u tom zapisu nije pažnja i brojanje upita nije brojanje posjeta. Zapis rezolvera je zapis pitanja, a pitanja je jeftino stvarati.

Postavljajte pitanja o čuvanju odvojeno

Za svaki sistem postavite tri pitanja: ko prikuplja, šta se prikuplja i koliko se dugo čuva. Zatim pitajte ko ga može čitati i po kom procesu. Rasprava o RFC 8484 o DNS over HTTPS dobar je podsjetnik da šifrovani transport ne uklanja krajnju tačku, a vlastita dokumentacija operatora jedina je pouzdana tvrdnja o tome šta ta krajnja tačka čuva.

Kada se tvrdnja o privatnosti iznosi o „VPN-u“, podijelite je na komponente prije nego što je prihvatite: operator tunela, rezolver koji tunel daje, svaki nadređeni rezolver do kojeg ti upiti stižu i aplikacije na uređaju. Svaka ima svoj odgovor, a tvrdnja tačna za jednu rutinski se ponavlja kao da pokriva sve četiri.

Za rješavanje problema koristite istu podjelu. Pitajte koja je aplikacija poslala upit i koji je rezolver odgovorio, zatim pogledajte zapis koji zaista posjeduje taj događaj. Nagađanje iz drugog zapisa štedi minutu i košta jedno poslijepodne.