Implementiert Cloudflares DNS über TLS (DoT) auch DNSSEC?
Ich werde die Frage direkt beantworten:
Ich bin verwirrt darüber, ob ich DNSSEC verlieren würde, wenn ich mich entschließen würde, DNS über TLS (DoT) zu implementieren .
Kleine Details:
Ich bin mit IPv4 + IPv6 Cloudflare DNS direkt in meinem OpenWrt- Heimrouter verbunden.
Ich liebe die Idee eines sichereren DNS, auch wenn DNSSEC für Heimzwecke ausreichen könnte, dachte ich ursprünglich.
Aber da jede DNS-Anfrage unverschlüsselt bleibt, könnte mein ISP mich belauschen, glaube ich.
Deshalb denke ich darüber nach, DNS über TLS (DoT) zu implementieren , nicht mehr und nicht weniger.
Nirgendwo finde ich Informationen zum Beibehalten / Verlieren von DNSSEC mit DNS über TLS (DoT) .
Dankeschön.
Antworten
Ihre Frage zeigt eine falsche Annahme. Bevor Sie jedoch weiter gehen, sichert DoH / DoT die Daten während der Übertragung, während DNSSEC die Daten in Ruhe sichert. Beide sind orthogonal und ich würde davon ausgehen, dass ein guter Anbieter, der mehrere Transporte anbietet, DNSSEC für alle (oder keine) anbieten kann, da dies für ihn keinen Unterschied macht (die Berechnungen, die er für DNSSEC-Validierungen durchführen muss, tun dies nicht hängt davon ab, ob der ursprüngliche Client die Frage über einfaches UDP / TCP oder über HTTPS oder über TLS gestellt hat.
Nun zurück zu dem, was ich für eine falsche Annahme halte.
Sie vergleichen:
- Verwenden von Provider X, um die DNS-Auflösung in Ihrem Namen mithilfe von "normalem DNS" durchzuführen
- Verwenden des gleichen Anbieters, jedoch mit DNS über TLS.
Und Sie möchten die Eigenschaften von DNSSEC. Ich verwende "Provider X", da das Folgende für jede Art von Provider gleich ist.
Der Unterschied zwischen den beiden Fällen besteht darin, dass Sie mit DNS über TLS die Garantie haben (wenn sowohl auf Ihrer Seite als auch auf der Seite Ihres Anbieters alles richtig konfiguriert ist), dass das, was Sie erhalten, von keinem Akteur manipuliert (oder tatsächlich angehört) wurde Der Netzwerkpfad zwischen Ihnen und dem Anbieter. Es gibt keinerlei Garantie dafür, was beim Anbieter passiert oder was passiert, wenn der Anbieter selbst andere Nameserver auffordert, die vollständige Lösung in Ihrem Namen durchzuführen.
In Bezug auf DNSSEC bedeutet dies, dass Sie in diesem Setup vollständig akzeptieren, was der Anbieter Ihnen sagt. Wenn das Flag "authentifiziert" umgedreht wird, werden Sie glauben, dass es die DNSSEC-Überprüfungen nach Bedarf durchgeführt hat und Ihnen garantiert, dass alles klickt.
Aber ist das nicht eine große Annahme? Vertrauen Sie Ihrem Provider in jedem Fall? Verwendet es Filter oder "Negative Trust Anchors" (die zur Umgehung von DNSSEC-Konfigurationsfehlern verwendet werden, aber auch zur Umgehung der korrekten DNSSEC-Auflösung verwendet werden können, wenn sie nicht solide dokumentiert sind, und noch besser, bis niemand das Äquivalent tut Bei Zertifikatstransparenzprotokollen für DNSSEC haben Sie wirklich keine Garantie dafür, was passiert. Usw.
Anders gesagt: Wenn Sie Ihr DNS-Setup wirklich ernst nehmen, möchten Sie vielleicht eine andere Option auf den Tisch bringen und sie studieren (ohne zu sagen, dass dies eine Lösung für alle Fälle ist, sondern nur sagen: Bitte denken Sie an diese Option und beurteilen Sie sie relativ zu anderen). . Welches ist: Führen Sie die DNSSEC-Überprüfungen auf IHRER Seite durch, nicht auf der Anbieterseite.
Jede anständige Nameserver-Software kann das. Natürlich kann dies von einem betrügerischen Anbieter immer noch vereitelt werden, wenn er anfängt, Root-DNSKEY und ähnliches zu entfernen. Bis dahin ist es möglicherweise eine bessere Sicherheit für Sie, als sich auf einen Anbieter zu verlassen, der DNSSEC in Ihrem Namen ausführt.
PS: Sie fragen nach Links, aber beachten Sie, dass diese Q & A-Site nicht nur eine Liste von Links sein soll. Sie haben dafür Suchmaschinen. Ziel ist es, hier Wissen zu sammeln, nicht unter einigen Links, die zu irgendeinem Zeitpunkt veralten können. Haben Sie den ersten Schritt unternommen, um mit Ihrer Frage Kontakt aufzunehmen, da Sie in Ihrer Frage nur einen bestimmten Anbieter angesprochen haben?
DoT und DoH sind im Wesentlichen nur verschlüsselte Tunnel für traditionelles DNS.
Diese Protokollvarianten geben keine inhärenten Garantien hinsichtlich des DNSSEC-Verhaltens und machen auch keinen Versuch, DNSSEC funktional zu ersetzen. Es gibt also keine allgemeine Antwort für DoT oder DoH auf der ganzen Linie.
Da eine Technologie in diesem Fall die andere nicht ersetzt, möchten Sie wahrscheinlich beides.
Wenn der DoT- (oder DoH-) Dienstanbieter verspricht, eine DNSSEC-Validierung durchzuführen (im Fall von 1.1.1.1), bin ich mir ziemlich sicher, dass dies operativ der Fall ist, aber ich weiß nicht, dass er sich dazu verpflichtet hat rechtlicher Sinn) und Sie vertrauen ihnen tatsächlich, Sie könnten einfach die DNSSEC-Validierung am Ende des DoT- (oder DoH-) Tunnels durchführen lassen.
Andernfalls (wenn sie nicht validiert werden oder Sie einfach nicht darauf vertrauen können, dass sie konsistent validiert werden) müssen Sie auf Ihrer Seite wie bei einfachem DNS validieren.