DNSSEC apo VPN: cila i fsheh pyetjet e tua DNS?

Dy mekanizmave u jepet e njëjta detyrë dhe asnjëri prej tyre nuk e kryen. DNSSEC përgjigjet nëse të dhënat që more erdhën vërtet nga zona që i publikon, dhe një VPN vendos se cilën rrugë marrin paketat e tua. Asnjëri prej tyre nuk e fsheh në çdo rast emrin që kërkove, dhe cilësimet që duken sikur duhet ta bëjnë këtë zakonisht kanë të bëjnë me transportin ose rrugëzimin dhe jo me validimin. Nëse së pari emërton shtresën, një pyetje e paqartë për privatësinë bëhet një pyetje konkrete.

Tre pretendime të shkrira në një

Autenticiteti është pretendimi që përgjigjja është ajo që publikoi zona dhe nuk u ndryshua gjatë rrugës. Konfidencialiteti është pretendimi që askush në rrugë nuk mund të lexojë pyetjen ose përgjigjjen. Rrugëzimi është pretendimi që paketat ndjekin një rrugë që zgjodhe ti, dhe pikërisht këtë ofron një tunel.

DNSSEC merret me të parën dhe nuk thotë asgjë për dy të tjerat. DoT dhe DoH merren me të dytën për kërcimin deri te resolveri. Një VPN merret me të tretën dhe mund të ndikojë edhe të dytën, por vetëm si efekt anësor i vendit ku shkon trafiku.

Trafiku i aplikacioneve është rasti i katërt: HTTPS mbron dhe vërteton shkëmbimin web midis klientit tënd dhe faqes, dhe asnjë shtresë DNS nuk e zëvendëson atë.

Çfarë mund dhe çfarë nuk mund të bëjë validimi i nënshkrimeve

Një resolver që validon kontrollon zinxhirin e nënshkrimeve nga zona deri te një spirancë besimi e konfiguruar, pastaj kthen një përgjigje me flamurin e të dhënave të vërtetuara të vendosur kur kontrolli ka sukses. Ai flamur është provë për të dhënat, jo për lidhjen apo qëllimet e destinacionit.

Nuk mund të pengojë një pronar legjitim zone të publikojë regjistrime autentike për një shërbim që nuk duhet t'i besosh. Një përgjigje e nënshkruar saktë nga një domen i komprometuar mbetet e nënshkruar saktë, dhe DNSSEC nuk ka mendim nëse ai domen meriton kredencialet e tua.

As nuk fsheh asgjë. Pyetja dhe përgjigjja kalojnë rrjetin në një formë që një resolver dhe çdo vëzhgues në atë rrugë mund ta lexojë, përveç nëse një shtresë tjetër mbron transportin. Një përgjigje e nënshkruar dhe një përgjigje private janë veti të ndryshme, dhe një zbatim mund të ketë vetëm njërën prej tyre. Testo të dyja nëse ndonjëra ka rëndësi për ty.

Nga vjen në të vërtetë konfidencialiteti

Transporti i kriptuar drejt resolverit e mbështjell shkëmbimin DNS në TLS, kështu që resolveri e sheh ende pyetjen, por rruga midis teje dhe tij jo. Kjo e zhvendos besimin në vend që ta heqë: i beson më shumë resolverit dhe më pak rrjetit lokal.

Një VPN mund t'i çojë pyetjet te një resolver në anën tjetër, gjë që ndryshon si rrugën ashtu edhe resolverin që i sheh. Është një vendim rrugëzimi me pasojë për privatësinë, dhe në një rrjet të menaxhuar resolveri i brendshëm mund të jetë i vetmi që mund të përgjigjet për emrat e brendshëm.

Kombinimi që njerëzit duan vërtet është zakonisht tri gjëra njëherësh: validim i ndezur, transport i kriptuar drejt një resolveri që e zgjodhën dhe TLS i aplikacionit në destinacion. Secili është i pavarur, dhe anashkalimi i njërit lë një boshllëk tjetër.

Kontrollo validimin dhe transportin veçmas

Dy teste zgjidhin pjesën më të madhe të konfuzionit. I pari pyet nëse resolveri e validoi përgjigjjen; i dyti pyet nëse transporti ishte i mbrojtur. Dështojnë në mënyra të ndryshme dhe asnjëri nuk nënkupton tjetrin.

Këto komanda shtypin flamujt e një pyetjeje validuese, përsëritin pyetjen me kontrollin e çaktivizuar dhe ekzekutojnë validimin lokal me delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Një përgjigje me flamurin e të dhënave të vërtetuara dhe një nënshkrim të pranishëm tregon validim në atë resolver. Një dështim validimi me delv tregon një zinxhir të thyer diku midis zonës dhe spirancës së besimit, që është një problem publikimi dhe jo një problem tuneli. Një skadim kohe pa asnjë flamur është problem transporti ose arritshmërie, dhe trajtimi i tij si dështim nënshkrimi të çon në shtresën e gabuar.

Çfarë të bësh kur një VPN prish kërkimet

Nëse kërkimet funksiononin përpara tunelit dhe ndalen pas tij, krahaso resolverin që përdor çdo rrugë. Tunelimi i ndarë, një resolver i brendshëm i arritshëm vetëm përmes tunelit dhe një klient që rishkruan cilësimet e resolverit i ndryshojnë të gjithë përgjigjjen pa prekur DNSSEC.

Çaktivizimi global i validimit është lëvizja e parë e gabuar, sepse heq mekanizmin e vetëm që raporton manipulim dhe nuk rregullon një resolver të paarritshëm. Së pari kufizo defektin: zgjidhje, transport, validim dhe pastaj politikë. Vetëm e treta i përket DNSSEC, dhe vetëm e dyta i përket transportit të kriptuar.