DNSSEC protiv VPN-a: što skriva vaše DNS upite?

Dva mehanizma dobivaju isti zadatak i nijedan ga ne izvršava. DNSSEC odgovara jesu li podaci koje ste primili doista došli iz zone koja ih objavljuje, a VPN odlučuje kojim putem idu vaši paketi. Nijedan od njih ne skriva ime koje ste tražili u svakom slučaju, a postavke koje izgledaju kao da bi to trebale raditi obično se tiču prijenosa ili usmjeravanja, a ne validacije. Ako prvo imenujete sloj, nejasno pitanje privatnosti postaje konkretno.

Tri tvrdnje spojene u jednu

Autentičnost je tvrdnja da je odgovor onaj koji je zona objavila i da nije promijenjen na putu. Povjerljivost je tvrdnja da nitko na putu ne može pročitati upit ni odgovor. Usmjeravanje je tvrdnja da paketi slijede put koji ste odabrali, a to je upravo ono što tunel pruža.

DNSSEC se bavi prvim i ne govori ništa o druga dva. DoT i DoH bave se drugim za dio puta do razrješivača. VPN se bavi trećim i može utjecati i na drugo, ali samo kao nuspojava toga kamo promet ide.

Promet aplikacija četvrti je slučaj: HTTPS štiti i autentificira web razmjenu između vašeg klijenta i stranice, i nijedan DNS sloj ga ne zamjenjuje.

Što validacija potpisa može, a što ne može

Razrješivač koji validira provjerava lanac potpisa od zone do konfiguriranog sidra povjerenja, a zatim vraća odgovor s postavljenom oznakom autentificiranih podataka kada provjera uspije. Ta oznaka dokaz je o podacima, ne o vezi ni o namjerama odredišta.

Ne može spriječiti zakonitog vlasnika zone da objavi autentične zapise za uslugu kojoj ne treba vjerovati. Ispravno potpisan odgovor iz kompromitirane domene i dalje je ispravno potpisan, a DNSSEC nema mišljenje o tome zaslužuje li ta domena vaše akreditive.

Također ne skriva ništa. Upit i odgovor prelaze mrežu u obliku koji razrješivač i svaki promatrač na tom putu mogu pročitati, osim ako neki drugi sloj štiti prijenos. Potpisan odgovor i privatan odgovor različita su svojstva, a implementacija može imati samo jedno od njih. Testirajte oba ako vam je ijedno važno.

Odakle povjerljivost zapravo dolazi

Šifrirani prijenos do razrješivača obavija DNS razmjenu u TLS, pa razrješivač i dalje vidi pitanje, ali put između vas i njega ne. To premješta povjerenje umjesto da ga ukloni: više vjerujete razrješivaču, a manje lokalnoj mreži.

VPN može nositi upite do razrješivača na drugoj strani, što mijenja i put i razrješivač koji ih vidi. To je odluka o usmjeravanju s posljedicom po privatnost, a na upravljanoj mreži interni razrješivač može biti jedini koji može odgovoriti na interna imena.

Kombinacija koju ljudi zapravo žele obično su tri stvari odjednom: uključena validacija, šifrirani prijenos do razrješivača koji su odabrali i TLS aplikacije na odredištu. Svaka je neovisna, a preskakanje jedne ostavlja drugu prazninu.

Provjeravajte validaciju i prijenos odvojeno

Dva testa rješavaju većinu zabune. Prvi pita je li razrješivač validirao odgovor; drugi pita je li prijenos bio zaštićen. Oni padaju na različite načine i nijedan ne podrazumijeva drugi.

Ove naredbe ispisuju oznake iz upita s validacijom, ponavljaju upit s isključenom provjerom i pokreću lokalnu validaciju pomoću delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Odgovor s oznakom autentificiranih podataka i prisutnim potpisom pokazuje validaciju na tom razrješivaču. Neuspjeh validacije s delv pokazuje prekinut lanac negdje između zone i sidra povjerenja, a to je problem objavljivanja, a ne problem tunela. Istek vremena bez ikakvih oznaka problem je prijenosa ili dostupnosti, a tretiranje toga kao neuspjeha potpisa vodi vas na pogrešan sloj.

Što učiniti kada VPN pokvari pretrage

Ako su pretrage radile prije tunela i stale nakon njega, usporedite razrješivač koji koristi svaki put. Podijeljeno tuneliranje, interni razrješivač dostupan samo kroz tunel i klijent koji prepisuje postavke razrješivača mijenjaju odgovor bez diranja DNSSEC-a.

Globalno isključivanje validacije pogrešan je prvi potez jer uklanja jedini mehanizam koji prijavljuje neovlašteno mijenjanje i ne popravlja razrješivač do kojeg se ne može doći. Prvo suzite kvar: razrješavanje, prijenos, validacija, pa politika. Samo treće pripada DNSSEC-u, a samo drugo šifriranom prijenosu.