DNSSEC au VPN: ipi inaficha maulizo yako ya DNS?

Mbinu mbili zinapewa kazi moja na hakuna hata moja inayoifanya. DNSSEC inajibu kama data uliyopokea ilitoka kwa ukweli kutoka eneo linaloichapisha, na VPN inaamua njia ambayo pakiti zako zitapita. Hakuna hata moja inayoficha jina ulilouliza katika kila hali, na mipangilio inayoonekana kama inapaswa kufanya hivyo kwa kawaida huhusu usafirishaji au uelekezaji na si uthibitishaji. Kwanza kutaja tabaka kunabadilisha swali lisilo wazi kuhusu faragha kuwa swali mahususi.

Madai matatu yanayounganika kuwa moja

Uhalisi ni dai kwamba jibu ni lile lililochapishwa na eneo na hakubadilishwa njiani. Usiri ni dai kwamba hakuna mtu njiani anayeweza kusoma ulizo au jibu. Uelekezaji ni dai kwamba pakiti zinafuata njia uliyochagua, na hiyo ndiyo hasa tunnel inatoa.

DNSSEC inashughulikia la kwanza na haisemi chochote kuhusu mawili mengine. DoT na DoH zinashughulikia la pili kwa hatua hadi kwenye kitatuzi. VPN inashughulikia la tatu na inaweza kuathiri la pili pia, lakini tu kama athari ya pembeni ya mahali ambapo trafiki inaenda.

Trafiki ya programu ni kisa cha nne: HTTPS inalinda na kuthibitisha mabadilishano ya wavuti kati ya mteja wako na tovuti, na hakuna tabaka la DNS linalochukua nafasi yake.

Uthibitishaji wa sahihi unaweza kufanya nini na hauwezi kufanya nini

Kitatuzi kinachothibitisha hukagua mnyororo wa sahihi kutoka eneo hadi nanga ya uaminifu iliyowekwa, kisha hurudisha jibu lenye bendera ya data iliyothibitishwa ikiwa ukaguzi umefanikiwa. Bendera hiyo ni ushahidi kuhusu data, si kuhusu muunganisho au nia za lengwa.

Haiwezi kuzuia mmiliki halali wa eneo kuchapisha rekodi za kweli kwa huduma ambayo hupaswi kuiamini. Jibu lililosainiwa kwa usahihi kutoka kikoa kilichodhoofishwa bado limesainiwa kwa usahihi, na DNSSEC haina maoni kuhusu kama kikoa hicho kinastahili vitambulisho vyako.

Pia haifichi kitu. Ulizo na jibu hupita mtandao kwa umbo ambalo kitatuzi na mwangalizi yeyote kwenye njia hiyo wanaweza kusoma, isipokuwa tabaka lingine linalinda usafirishaji. Jibu lililosainiwa na jibu la faragha ni sifa tofauti, na utekelezaji unaweza kuwa na moja tu. Jaribu zote mbili ikiwa moja ina umuhimu kwako.

Usiri unatoka wapi kwa kweli

Usafirishaji wa kitatuzi uliosimbwa hufunika mabadilishano ya DNS ndani ya TLS, kwa hiyo kitatuzi bado kinaona swali lakini njia kati yako na yeye haioni. Hii huhamisha uaminifu badala ya kuuondoa: unaamini kitatuzi zaidi na mtandao wa ndani kidogo.

VPN inaweza kubeba maulizo hadi kwa kitatuzi cha upande wa pili, jambo ambalo hubadilisha njia na kitatuzi kinachoyaona. Hii ni uamuzi wa uelekezaji wenye athari ya faragha, na katika mtandao unaosimamiwa kitatuzi cha ndani kinaweza kuwa kimoja tu kinachoweza kujibu majina ya ndani.

Mchanganyiko ambao watu wanautaka kwa kweli kwa kawaida ni mambo matatu kwa wakati mmoja: uthibitishaji umewaka, usafirishaji uliosimbwa hadi kitatuzi walichochagua, na TLS ya programu kwenye lengwa. Kila kimoja ni huru, na kuruka kimoja huacha pengo lingine.

Angalia uthibitishaji na usafirishaji kwa tofauti

Majaribio mawili hutatua zaidi ya mkanganyiko. La kwanza huuliza kama kitatuzi kilithibitisha jibu; la pili huuliza kama usafirishaji ulilindwa. Hushindwa kwa njia tofauti na hakuna hata moja inayomaanisha lingine.

Amri hizi huchapisha bendera za ulizo la kuthibitisha, hurudia ulizo huku ukaguzi umezimwa, na huendesha uthibitishaji wa ndani kwa kutumia delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Jibu lenye bendera ya data iliyothibitishwa na sahihi iliyopo linaonyesha uthibitishaji kwenye kitatuzi hicho. Kushindwa kwa uthibitishaji kwa kutumia delv kunaonyesha mnyororo uliovunjika mahali fulani kati ya eneo na nanga ya uaminifu, jambo ambalo ni tatizo la uchapishaji na si tatizo la tunnel. Muda kuisha bila bendera yoyote ni tatizo la usafirishaji au ufikivu, na kulitazama kama kushindwa kwa sahihi kunakupeleka kwenye tabaka lisilofaa.

Nini cha kufanya VPN inapovunja utafutaji

Ikiwa utafutaji ulifanya kazi kabla ya tunnel na unasimama baada yake, linganisha kitatuzi kinachotumiwa na kila njia. Tunnel iliyogawanyika, kitatuzi cha ndani kinachofikiwa tu kupitia tunnel, na mteja anayeandika upya mipangilio ya kitatuzi vyote hubadilisha jibu bila kugusa DNSSEC.

Kuzima uthibitishaji duniani kote ni hatua ya kwanza isiyofaa, kwa sababu huondoa mbinu pekee inayoripoti uingiliaji na haitengenezi kitatuzi kisichofikika. Kwanza punguza hitilafu: utatuzi, usafirishaji, uthibitishaji, kisha sera. Ya tatu pekee ni ya DNSSEC, na ya pili pekee ni ya usafirishaji uliosimbwa.