DNSSEC, DoH, DoQ, Resolver Privacy και DNS Trust — DedSec Project

Ελληνική έκδοση — Μάθημα 125. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Ξεχώρισε DNS authenticity από transport privacy: DNSSEC, DoH/DoT/DoQ, resolver trust, split DNS, TTL και cache lifecycle.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το DNSSEC chain of trust και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το DS, DNSKEY and RRSIG roles και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το negative answers and authenticated denial και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το DoH and DoT και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το DNS over QUIC (DoQ) και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το resolver policy and discovery και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. DNSSEC chain of trust

DNSSEC αυθεντικοποιεί DNS data μέσω signatures και chain of trust από trust anchor σε DS/DNSKEY. Παρέχει integrity/origin authentication, όχι confidentiality ούτε απόδειξη ότι η ίδια η εφαρμογή προορισμού είναι ασφαλής.

2. DS, DNSKEY και RRSIG

DNSKEY δημοσιεύει zone keys, DS συνδέει parent-child και RRSIG υπογράφει RRsets. Key rollover, timing, algorithms και delegation changes πρέπει να γίνονται χωρίς να σπάει το chain.

3. authenticated denial of existence

DNSSEC μπορεί να αποδείξει ότι name/type δεν υπάρχει. Τα negative answers είναι security-relevant cached state και χρειάζονται σωστή validation όπως και τα positive records.

4. DoH και DoT

DoH/DoT κρυπτογραφούν resolver traffic προς επιλεγμένο resolver. Αυτό αλλάζει visibility αλλά δεν αποδεικνύει ότι ο resolver είναι trustworthy ή ότι κάνει DNSSEC validation.

5. DoQ

DoQ μεταφέρει DNS πάνω από QUIC και κληρονομεί encrypted transport/connection behavior. Resolver authentication, policy, limits και fallback πρέπει να είναι explicit για όλα τα transports.

6. resolver policy και discovery

Resolver μπορεί να προέρχεται από network, OS, application ή enterprise policy. Κατέγραψε ποια ρύθμιση υπερισχύει και αν κάποιο app/encrypted path παρακάμπτει enterprise visibility.

7. split-horizon DNS

Internal και external DNS μπορούν σκόπιμα να δίνουν διαφορετικές απαντήσεις. Document namespace/boundary ώστε VPN, cache ή application-specific resolver να μην εκθέτει internal names ή λάθος routes.

8. cache TTL και stale answers

Positive/negative records μένουν cached σύμφωνα με TTL/policy και μερικοί resolvers σερβίρουν stale data σε outage. IR πρέπει να λαμβάνει υπόψη propagation και cache state μετά από αλλαγές.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Ακολούθησε αλυσίδα επικύρωσης DNSSEC με δημόσιους δοκιμαστικούς τομείς ή παραδείγματα πακέτων εκτός σύνδεσης, χωρίς αλλαγή υποδομής DNS.

• Εργαστήριο 2 — Σύγκρινε απλό DNS, DoH και DoQ ως προς το ποιος βλέπει τα ερωτήματα και πού τερματίζεται η εμπιστοσύνη.

• Εργαστήριο 3 — Κατασκεύασε άσκηση χρονογραμμής προσωρινής μνήμης με TTL, παρωχημένα δεδομένα και εξαρτήσεις αλλαγής κλειδιών.

Πλήρες αγγλικό μάθημα

English Module 125

Επόμενα μαθήματα

Σχετικά modules: 035, 051, 077, 078, 087, 124. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.