Το πρόβλημα με τα «κλειδιά» του DNS: πώς η κρυπτογράφηση χρειάζεται καλύτερη διανομή

Αγοράζεις μια καλή κλειδαριά και μετά ψάχνεις το κλειδί. Έτσι νιώθουν εκατομμύρια χρήστες όταν προσπαθούν να χρησιμοποιήσουν κρυπτογραφημένο DNS.

Τα πρωτόκολλα DoH και DoT φτιάχτηκαν για να προστατεύουν τις ερωτήσεις DNS από παρακολούθηση. Στην πράξη όμως, η προστασία τους σταματάει αν δεν μπορέσεις να φτάσεις στο «κλειδί» που χρειάζεται για να ξεκινήσει η κρυπτογράφηση.

Πώς οι λογοκριτές πέρασαν από το μπλοκάρισμα στο φρενάρισμα

Στην Κίνα, οι χρήστες είδαν το 2021 ότι οι υπηρεσίες DoH δεν έπεφταν εντελώς. Αντίθετα, η σύνδεση πετύχαινε για λίγο, μετά σταματούσε και μετά επανερχόταν. Αυτό δεν ήταν τυχαίο.

Η Μεγάλη Πυροτειχισμός υιοθέτησε τριπλή προσέγγιση:

• Το απλό DNS εξακολουθεί να δηλητηριάζεται με ψεύτικες διευθύνσεις.
• Το DoT στο port 853 μπλοκάρεται εντελώς.
• Το DoH στο port 443 δέχεται σύντομα μπλοκαρίσματα IP που διαρκούν λίγα λεπτά—αρκετά για να γίνει η υπηρεσία πρακτικά άχρηστη.

Το αρχιτεκτονικό αδιέξοδο

Για να χρησιμοποιήσεις ECH και να κρύψεις το SNI, χρειάζεσαι πρώτα τα δημόσια κλειδιά που βρίσκονται στο DNS. Αν όμως το DNS δεν είναι διαθέσιμο, δεν μπορείς να φτάσεις ούτε στα κλειδιά. Βρίσκεσαι σε φαύλο κύκλο: για να κρυπτογραφήσεις το DNS, χρειάζεσαι το DNS.

Τι σημαίνει αυτό για developers και διαχειριστές

Αν τρέχεις υπηρεσίες σε πολλές χώρες, δεν μπορείς να υποθέτεις ότι:

1. Όλοι οι χρήστες φτάνουν στα records σου.
2. Η κρυπτογράφηση καλύπτει και τη διανομή των κλειδιών.
3. Η λογοκρισία είναι πάντα «όλα ή τίποτα» — συχνά αρκεί το περιστασιακό φρενάρισμα.

Πού κινούνται οι λύσεις

Κανένα μαγικό φάρμακο δεν υπάρχει, αλλά υπάρχουν πρακτικές κατευθύνσεις:

• DNSSEC και blockchain για πιο ανθεκτική διανομή κλειδιών.
• Obfuscation ώστε τα ερωτήματα DoH να μοιάζουν με συνηθισμένη κίνηση HTTPS.
• Anycast και γεωγραφική διασπορά για να δυσκολέψει το μπλοκάρισμα συγκεκριμένων IPs.
• Ενσωμάτωση κλειδιών μέσα στην ίδια την εφαρμογή, αντί να βασίζεται αποκλειστικά στο DNS.

Όλες αυτές οι προσεγγίσεις έχουν κόστος σε ταχύτητα, πολυπλοκότητα ή ευχρηστία.

Το βασικό συμπέρασμα

Η ιδιωτικότητα δεν εξαρτάται μόνο από κρυπτογράφηση. Εξαρτάται και από το αν μπορείς να φτάσεις στα εργαλεία που την κάνουν εφικτή. Όποιος σχεδιάζει υποδομές οφείλει να σκέφτεται: «Τι θα κάνει κάποιος που ελέγχει το δίκτυο για να σταματήσει τους χρήστες μου;» Και να έχει έτοιμη απάντηση.