DNSSEC ali VPN: kaj v resnici skrije vaše poizvedbe DNS?

Dva mehanizma dobita isto nalogo in nobeden je ne opravi. DNSSEC odgovarja, ali so prejeti podatki res prišli iz cone, ki jih objavlja, VPN pa odloči, po kateri poti gredo vaši paketi. Nobeden v vseh primerih ne skrije imena, ki ste ga vprašali, in nastavitve, ki so videti, kot da bi to morale storiti, se običajno nanašajo na prenos ali usmerjanje in ne na preverjanje. Če najprej poimenujete sloj, se nejasno vprašanje o zasebnosti spremeni v konkretno.

Tri trditve, zlite v eno

Pristnost je trditev, da je odgovor tisti, ki ga je objavila cona, in da se na poti ni spremenil. Zaupnost je trditev, da nihče na poti ne more prebrati poizvedbe ali odgovora. Usmerjanje je trditev, da paketi sledijo poti, ki ste jo izbrali, in prav to ponuja tunel.

DNSSEC obravnava prvo in ne pove ničesar o drugih dveh. DoT in DoH obravnavata drugo za skok do resolverja. VPN obravnava tretjo in lahko vpliva tudi na drugo, vendar le kot stranski učinek tega, kam gre promet.

Promet aplikacij je četrti primer: HTTPS zaščiti in overi spletno izmenjavo med vašim odjemalcem in mestom, in noben sloj DNS ga ne nadomesti.

Kaj preverjanje podpisov zmore in česa ne

Resolver, ki preverja, pregleda verigo podpisov od cone do nastavljenega sidra zaupanja in nato vrne odgovor z nastavljeno zastavico overjenih podatkov, ko preverjanje uspe. Ta zastavica je dokaz o podatkih, ne o povezavi ali namerah cilja.

Ne more preprečiti zakonitemu lastniku cone, da objavi pristne zapise za storitev, ki ji ne bi smeli zaupati. Pravilno podpisan odgovor iz ogrožene domene je še vedno pravilno podpisan, in DNSSEC nima mnenja o tem, ali si ta domena zasluži vaše poverilnice.

Prav tako ničesar ne skrije. Poizvedba in odgovor potujeta po omrežju v obliki, ki jo lahko prebereta resolver in vsak opazovalec na tej poti, razen če drug sloj zaščiti prenos. Podpisan odgovor in zaseben odgovor sta različni lastnosti, in postavitev ima lahko le eno od njiju. Preizkusite obe, če vam je katera koli pomembna.

Od kod zaupnost v resnici prihaja

Šifriran prenos do resolverja ovije izmenjavo DNS v TLS, zato resolver še vedno vidi vprašanje, pot med vami in njim pa ne. To prestavi zaupanje, namesto da bi ga odstranilo: bolj zaupate resolverju in manj lokalnemu omrežju.

VPN lahko nosi poizvedbe do resolverja na drugi strani, kar spremeni pot in resolver, ki jih vidi. To je odločitev o usmerjanju s posledico za zasebnost, in v upravljanem omrežju je lahko notranji resolver edini, ki zna odgovoriti na notranja imena.

Kombinacija, ki si jo ljudje res želijo, so običajno tri stvari hkrati: vključeno preverjanje, šifriran prenos do resolverja, ki so ga izbrali, in aplikacijski TLS na cilju. Vsaka je neodvisna, in če eno izpustite, ostane druga vrzel.

Preverjanje in prenos preverite ločeno

Dva preizkusa razrešita večino zmede. Prvi vpraša, ali je resolver odgovor preveril; drugi, ali je bil prenos zaščiten. Ne uspeta na različne načine in nobeden ne pomeni drugega.

Ti ukazi izpišejo zastavice preverjajoče poizvedbe, ponovijo poizvedbo z izklopljenim preverjanjem in zaženejo lokalno preverjanje s pomočjo delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Odgovor z zastavico overjenih podatkov in prisotnim podpisom kaže preverjanje pri tem resolverju. Neuspeh preverjanja s pomočjo delv kaže pretrgano verigo nekje med cono in sidrom zaupanja, kar je težava z objavo, ne težava s tunelom. Časovna omejitev brez kakršne koli zastavice je težava s prenosom ali dosegljivostjo, in obravnavanje tega kot neuspeha podpisa vas pošlje na napačen sloj.

Kaj storiti, ko VPN pokvari iskanje

Če je iskanje pred tunelom delovalo in se po njem ustavi, primerjajte resolver, ki ga uporablja vsaka pot. Razdeljeno tuneliranje, notranji resolver, dosegljiv samo skozi tunel, in odjemalec, ki prepisuje nastavitve resolverja, vsi spremenijo odgovor, ne da bi se dotaknili DNSSEC.

Globalni izklop preverjanja je napačna prva poteza, ker odstrani edini mehanizem, ki poroča o poseganju, in ne popravi nedosegljivega resolverja. Najprej zožite napako: razreševanje, prenos, preverjanje in nato politika. Samo tretje spada k DNSSEC in samo drugo k šifriranemu prenosu.