DNSSEC hay VPN: cái nào che giấu truy vấn DNS của bạn?

Hai cơ chế được gán cho cùng một việc và không cái nào làm việc đó. DNSSEC trả lời liệu dữ liệu bạn nhận được có thực sự đến từ vùng công bố nó hay không, còn VPN quyết định các gói tin của bạn đi theo đường nào. Cả hai đều không che giấu tên bạn đã hỏi trong mọi trường hợp, và những cài đặt trông như phải làm vậy thường liên quan đến vận chuyển hoặc định tuyến chứ không phải xác thực. Gọi tên lớp trước biến một câu hỏi mơ hồ về quyền riêng tư thành câu hỏi cụ thể.

Ba tuyên bố hòa vào một

Tính xác thực là tuyên bố rằng câu trả lời là câu mà vùng đã công bố và không bị sửa đổi trên đường đi. Tính bảo mật là tuyên bố rằng không ai trên đường đi đọc được truy vấn hay câu trả lời. Định tuyến là tuyên bố rằng các gói tin đi theo đường bạn chọn, và đó chính là điều một đường hầm cung cấp.

DNSSEC xử lý điều thứ nhất và không nói gì về hai điều còn lại. DoT và DoH xử lý điều thứ hai cho chặng đến trình phân giải. VPN xử lý điều thứ ba và cũng có thể ảnh hưởng đến điều thứ hai, nhưng chỉ như một tác dụng phụ của việc lưu lượng đi đâu.

Lưu lượng ứng dụng là trường hợp thứ tư: HTTPS bảo vệ và xác thực trao đổi web giữa máy khách của bạn và trang web, và không lớp DNS nào thay thế được.

Xác thực chữ ký làm được gì và không làm được gì

Trình phân giải có xác thực kiểm tra chuỗi chữ ký từ vùng đến một mỏ neo tin cậy đã cấu hình, sau đó trả lại câu trả lời có đặt cờ dữ liệu đã xác thực khi việc kiểm tra thành công. Cờ đó là bằng chứng về dữ liệu, không phải về kết nối hay ý định của đích đến.

Nó không thể ngăn chủ sở hữu vùng hợp pháp công bố bản ghi xác thực cho một dịch vụ mà bạn không nên tin tưởng. Một câu trả lời được ký đúng từ một tên miền bị xâm phạm vẫn được ký đúng, và DNSSEC không có ý kiến về việc tên miền đó có xứng đáng với thông tin đăng nhập của bạn hay không.

Nó cũng không che giấu gì. Truy vấn và câu trả lời đi qua mạng ở dạng mà một trình phân giải và bất kỳ người quan sát nào trên đường đó có thể đọc, trừ khi một lớp khác bảo vệ việc vận chuyển. Câu trả lời được ký và câu trả lời riêng tư là hai thuộc tính khác nhau, và một triển khai có thể chỉ có một trong hai. Hãy thử cả hai nếu một trong hai quan trọng với bạn.

Tính bảo mật thực sự đến từ đâu

Vận chuyển đến trình phân giải được mã hóa bọc trao đổi DNS trong TLS, nên trình phân giải vẫn thấy câu hỏi nhưng đường đi giữa bạn và nó thì không. Điều này di chuyển sự tin cậy thay vì loại bỏ nó: bạn tin trình phân giải nhiều hơn và tin mạng cục bộ ít hơn.

VPN có thể mang truy vấn đến một trình phân giải ở phía bên kia, điều này thay đổi cả đường đi và trình phân giải nhìn thấy chúng. Đó là một quyết định định tuyến có hệ quả về quyền riêng tư, và trong một mạng được quản lý, trình phân giải nội bộ có thể là cái duy nhất trả lời được các tên nội bộ.

Sự kết hợp mà mọi người thực sự muốn thường là ba thứ cùng lúc: bật xác thực, vận chuyển được mã hóa đến trình phân giải họ chọn và TLS ứng dụng ở đích. Mỗi thứ độc lập, và bỏ qua một thứ sẽ để lại một lỗ hổng khác.

Kiểm tra xác thực và vận chuyển riêng biệt

Hai bài kiểm tra giải quyết phần lớn sự nhầm lẫn. Bài thứ nhất hỏi liệu trình phân giải đã xác thực câu trả lời; bài thứ hai hỏi liệu việc vận chuyển có được bảo vệ. Chúng thất bại theo những cách khác nhau và không cái nào bao hàm cái kia.

Những lệnh này in ra các cờ từ một truy vấn có xác thực, lặp lại truy vấn với việc kiểm tra bị tắt, và chạy xác thực cục bộ bằng delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Một câu trả lời có cờ dữ liệu đã xác thực và có chữ ký cho thấy việc xác thực tại trình phân giải đó. Lỗi xác thực với delv cho thấy một chuỗi bị đứt ở đâu đó giữa vùng và mỏ neo tin cậy, đó là vấn đề công bố chứ không phải vấn đề đường hầm. Hết thời gian mà không có cờ nào là vấn đề vận chuyển hoặc khả năng tiếp cận, và coi đó là lỗi chữ ký sẽ đưa bạn đến lớp sai.

Làm gì khi VPN phá hỏng việc tra cứu

Nếu việc tra cứu hoạt động trước đường hầm và dừng sau đó, hãy so sánh trình phân giải mà mỗi đường sử dụng. Đường hầm chia tách, trình phân giải nội bộ chỉ tiếp cận được qua đường hầm, và máy khách ghi đè cài đặt trình phân giải đều thay đổi câu trả lời mà không chạm vào DNSSEC.

Tắt xác thực trên toàn cầu là bước đầu sai lầm, vì nó loại bỏ cơ chế duy nhất báo cáo việc can thiệp và không sửa được một trình phân giải không thể tiếp cận. Trước hết hãy thu hẹp lỗi: phân giải, vận chuyển, xác thực, rồi đến chính sách. Chỉ cái thứ ba thuộc về DNSSEC, và chỉ cái thứ hai thuộc về vận chuyển được mã hóa.