DNSSEC alebo VPN: čo naozaj skrýva vaše DNS dopyty?

Dva mechanizmy dostávajú rovnakú úlohu a ani jeden ju neplní. DNSSEC odpovedá, či prijaté údaje naozaj pochádzajú zo zóny, ktorá ich zverejňuje, a VPN rozhoduje, akou cestou pôjdu vaše pakety. Ani jeden z nich vždy neskryje názov, ktorý ste zadali, a nastavenia, ktoré vyzerajú, akoby to mali robiť, sa zvyčajne týkajú transportu alebo smerovania, nie validácie. Ak najprv pomenujete vrstvu, nejasná otázka o súkromí sa zmení na konkrétnu.

Tri tvrdenia zlúčené do jedného

Pravosť je tvrdenie, že odpoveď je tá, ktorú zóna zverejnila, a že sa po ceste nezmenila. Dôvernosť je tvrdenie, že nikto na ceste nemôže prečítať dopyt ani odpoveď. Smerovanie je tvrdenie, že pakety idú cestou, ktorú ste vybrali, a presne to poskytuje tunel.

DNSSEC sa zaoberá prvým a o ostatných dvoch nehovorí nič. DoT a DoH sa zaoberajú druhým pre úsek k resolveru. VPN sa zaoberá tretím a môže ovplyvniť aj druhé, ale iba ako vedľajší efekt toho, kam ide prevádzka.

Prevádzka aplikácií je štvrtý prípad: HTTPS chráni a overuje webovú výmenu medzi vaším klientom a stránkou a žiadna DNS vrstva ho nenahrádza.

Čo validácia podpisov dokáže a čo nie

Validujúci resolver kontroluje reťaz podpisov od zóny po nakonfigurovanú kotvu dôvery a potom vráti odpoveď s nastaveným príznakom overených údajov, keď kontrola uspeje. Ten príznak je dôkazom o údajoch, nie o pripojení či zámeroch cieľa.

Nemôže zabrániť legitímnemu vlastníkovi zóny zverejňovať autentické záznamy pre službu, ktorej by ste nemali dôverovať. Správne podpísaná odpoveď z kompromitovanej domény je stále správne podpísaná a DNSSEC nemá názor na to, či si tá doména zaslúži vaše prihlasovacie údaje.

Tiež nič neskrýva. Dopyt aj odpoveď prechádzajú sieťou v podobe, ktorú môže prečítať resolver a akýkoľvek pozorovateľ na tejto ceste, ak transport nechráni iná vrstva. Podpísaná odpoveď a súkromná odpoveď sú rôzne vlastnosti a nasadenie môže mať iba jednu z nich. Otestujte obe, ak vám záleží na ktorejkoľvek.

Odkiaľ dôvernosť skutočne pochádza

Šifrovaný transport k resolveru zabalí DNS výmenu do TLS, takže resolver otázku stále vidí, ale cesta medzi vami a ním nie. To presúva dôveru namiesto toho, aby ju odstránilo: viac dôverujete resolveru a menej miestnej sieti.

VPN môže niesť dopyty k resolveru na druhej strane, čo mení cestu aj resolver, ktorý ich vidí. Je to rozhodnutie o smerovaní s následkom pre súkromie a v spravovanej sieti môže byť interný resolver jediný, kto dokáže odpovedať na interné názvy.

Kombinácia, ktorú ľudia naozaj chcú, sú zvyčajne tri veci naraz: zapnutá validácia, šifrovaný transport k resolveru, ktorý si vybrali, a aplikačné TLS na cieli. Každá je nezávislá a vynechanie jednej nechá inú medzeru.

Kontrolujte validáciu a transport oddelene

Dva testy vyriešia väčšinu zmätku. Prvý sa pýta, či resolver odpoveď validoval; druhý, či bol transport chránený. Zlyhávajú rôznymi spôsobmi a ani jeden neimplikuje druhý.

Tieto príkazy vypíšu príznaky validujúceho dopytu, zopakujú dopyt s vypnutou kontrolou a spustia miestnu validáciu pomocou delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Odpoveď s príznakom overených údajov a prítomným podpisom ukazuje validáciu na danom resolveri. Zlyhanie validácie pomocou delv ukazuje prerušený reťaz niekde medzi zónou a kotvou dôvery, čo je problém zverejnenia, nie problém tunela. Časový limit úplne bez príznakov je problém transportu alebo dostupnosti a zaobchádzanie s ním ako so zlyhaním podpisu vás pošle na nesprávnu vrstvu.

Čo robiť, keď VPN pokazí vyhľadávanie

Ak vyhľadávanie pred tunelom fungovalo a po ňom sa zastaví, porovnajte resolver, ktorý používa každá cesta. Rozdelené tunelovanie, interný resolver dostupný iba cez tunel a klient, ktorý prepisuje nastavenia resolvera, to všetko mení odpoveď bez toho, aby sa dotklo DNSSEC.

Globálne vypnutie validácie je nesprávny prvý krok, pretože odstraňuje jediný mechanizmus, ktorý hlási manipuláciu, a neopraví nedostupný resolver. Najprv zúžte poruchu: rozlíšenie, transport, validácia, potom politika. Iba tretie patrí DNSSEC a iba druhé šifrovanému transportu.