Kaj je DNS prek TLS?
Že veste, da se je v zadnjih nekaj letih močno širilo okoli šifriranja spletnega prometa. Tudi če niste posvetili veliko pozornosti, morate opaziti priliv zelenih ključavnic v bližini URL-jev in HTTPS, ki se pojavljajo povsod. To je zato, ker več spletnih mest kot kdaj koli prej šifrira promet.
Šifriranje spletnega prometa ščiti tako spletno mesto kot ljudi, ki ga obiščejo. Napadalci ne morejo enostavno vohuniti za šifriranim prometom, ko ta poteka med računalnikom in spletnim mestom, pri čemer hranijo vaše podatke za prijavo in vse drugo, kar pošljete na varno.
Obstaja en kos, ki se ne šifrira s HTTPS, poizvedbo DNS. Če niste seznanjeni, spletna mesta dejansko obstajajo na naslovu IP. Ko vtipkate URL spletnega mesta, pošljete še eno zahtevo strežniku DNS in vprašate, kateri IP naslov pripada temu URL-ju. Pogosteje kot to, da DNS strežnik pripada vašemu ponudniku internetnih storitev. Torej lahko oni in vsi drugi, ki jih poslušate, vidijo, na katera spletna mesta grete, in jih prijavite. Ker DNS ni privzeto šifriran, je za kakršne koli tretje osebe dokaj enostavno nadzirati poizvedbe DNS.
DNS Over TLS prinaša isto vrsto šifriranja, kot ga pričakujete pri HTTPS, za DNS poizvedbe. Torej je edina oseba, ki prejme vašo poizvedbo in podatke o tem, katero spletno mesto obiščete, strežnik DNS, ki ga izberete, in lahko izberete. DNS vašega ponudnika internetnih storitev vam ni treba uporabljati in tudi ne bi smel.
Kaj lahko narediš?
Podpora za DNS prek TLS še ni tako zrela kot HTTPS, vendar je še vedno dovolj enostavna za nastavitev in uporabo. Obstaja več možnosti, ki jih lahko uporabite za zaščito prometa DNS. Najprej je treba opozoriti, da vas bo uporaba pravilno nastavljenega VPN-ja že zaščitila. Vaš DNS promet bo prek VPN-ja tunel na DNS-ove strežnike ponudnika. Če že uporabljate VPN, ne skrbite, čeprav lahko nastavite dodatno zaščito, če želite.
Če ne uporabljate VPN, lahko svoj DNS promet še vedno šifrirate z DNS prek TLS. Obstaja odličen odprtokodni projekt, imenovan Stubby, ki samodejno šifrira vaše poizvedbe DNS in jih usmeri na strežnik DNS, ki lahko upravlja z DNS prek TLS. Ker je projekt odprtokoden, je prosto dostopen za Windows, Mac in Linux.
Nastavite Stubby
Windows
Stubby ima priročen namestitveni program za Windows .msi, ki bo Stubby namestil skupaj s privzeto konfiguracijsko datoteko. Pojdite na stran za namestitev in prenesite namestitveni program Windows .msi.
Ko ga imate, zaženite namestitveni program. Ni čarovnika za grafične nastavitve ali kaj podobnega. Potrditi morate le, da namestitelju dajete dostop. Za ostalo bo poskrbljeno.
Vse za Stubby v sistemu Windows se nahaja na naslovu:
C: Program FilesStubby
To vključuje konfiguracijsko datoteko YAML.
Odprite ukazni poziv. Lahko uporabite Run in vtipkate cmd. Spremenite se v imenik Stubby. Nato zaženite .exe in mu podajte konfiguracijo, da začnete Stubby.
C: UsersUserNamecd C: Program FilesStubby
C: Program FilesStubbystubby.exe -C stubby.yml
Stubby se bo zdaj izvajal v vašem sistemu. Če ga želite preizkusiti, zaženite naslednji ukaz in preverite, ali se pravilno izvaja.
C: Programske datotekeStubbygetdns_query -s @ 127.0.0.1 www.google.com
Če to uspe, je Stubby pravilno nastavljen. Zdaj, če želite spremeniti strežnike DNS, ki jih uporablja Stubby, odprite stubby.yml in spremenite vnose strežnika DNS tako, da ustrezajo izbranim strežnikom. Prepričajte se, da strežniki, ki jih izberete, podpirajo DNS prek TLS.
Preden boste lahko sistem Stubby uporabljali široko, boste morali spremeniti Windows-ove razprševalnike (DNS strežnike). Če želite to narediti, boste morali izvesti ukaz s skrbniškimi pravicami. Zaprite obstoječe okno ukaznega poziva. Nato se vrnite na začetni meni in poiščite »cmd«. Z desno miškino tipko kliknite in izberite "Zaženi kot skrbnik."
PowerShell -ExecutionPolicy bypass -file "C: Programske datotekeStubbystubby_setdns_windows.ps1"
Nič od tega ni zelo dobro, če sprememb ne morete narediti trajne. Če želite to narediti, boste morali ustvariti načrtovano nalogo, ki se izvaja ob zagonu. K sreči so razvijalci Stubby predložili predlogo za to. V oknu, ki ga imate v teku, naredite spremembe trajne.
schtasks / create / tn Stubby / XML "C: programske datotekeStubbystubby.xml" / RU To je vse! Vaš računalnik Windows je zdaj konfiguriran za uporabo Stubbyja za pošiljanje DNS prek TLS. V Linuxu je ta postopek zelo preprost. Tako Ubuntu kot Debian distribucije imajo Stubby že na voljo v svojih skladiščih. Samo ga morate namestiti in spremeniti svoj DNS za uporabo Stubby. Začnite z namestitvijo Stubbyja $ sudo apt namestite škrbino
Nato uredite konfiguracijsko datoteko Stubby, če želite. Na voljo je na /etc/stubby/stubby.yml. Odprite ga v svojem najljubšem urejevalniku besedil s sudo. Če ste spremenili strežnike DNS, znova zaženite Stubby. $ sudo systemctl znova zažene škrbino
Prav tako boste morali spremeniti vnose strežnika imen v /etc/resolv.conf. Odprite to tudi z urejevalnikom besedil in sudo. Ustvarite en vnos, kot je spodnji. nameserver 127.0.0.1
Zdaj preizkusite, da Stubby deluje. Pojdite na dnsleaktest.com in zaženite test. Če se pojavijo strežniki, ki ste jih Stubby konfigurirali za uporabo, računalnik uspešno deluje Stubby. Tudi nastavitev Stubby na OSX je dokaj enostavna. Če imate domače jezike, je postopek mrtev preprost, drugače pa je dokaj enostavno. Z Hombrewom lahko namestite paket Stubby. $ brew namestite škrbino
Preden začnete Stubby up kot storitev, lahko spremenite konfiguracijo YAML na /usr/local/etc/stubby/stubby.yml. Ko boste zadovoljni s stvarmi, lahko Stubbyja zaženete kot storitev. Storitve piva $ sudo začnejo trmasto
Če nimate domačega jezika, lahko namestite uporabniški vmesnik Stubby. Na voljo je tukaj. DNS prek TLS začne pridobivati oprijem. Kmalu bo to običajno. Do takrat so potrebne nastavitve in programi, kot je Stubby. Jasno pa je, da se ni težko postaviti. Podpora za DNS prek TLS bo v bližnji prihodnosti močno spodbudila, ko Google privzeto vključi podporo pri Androidu. Posledično bi moralo biti le vprašanje časa, preden Apple sledi podpori za iOS. Platforme namizja verjetno ne bodo preveč zaostajale. Potem spet imajo podporo, vi pa ste jo le omogočili.Linux
OSX
Zaključne misli
