VLOG admina z trasy #35 Dyskusji o wdrożeniu DNS-over-HTTPS cd. Q&A do komentarzy z poprzedniego odc

[@gorgucz]

Panie Jarosławie - jeśli 'moja przeglądarka' nie wyrzuci ostrzeżenie ( nie zgodność certyfikatu SSL ) dla strony banko podobnej , której adres dostaje z podmienionej odpowiedź dns to bardzo nisko pochylę głowę bo mi się nie udaje takiej symulacji zrobić - co bym nie robił zawsze przeglądarka wyrzuca odpowiedni komunikat . Aplkikacja OpenVPN też może łączyć automatycznie jak tylko dostanie Internet - żadna rewelacja Zacytuja Pana - "Czy istnieje prawdopodobieństwa...nawet niskie ale czy istnieje ..." -> na to ,że NordVPN będzie podmieniał rozwiązania DNS ( szalony admin , włamanie do NordVPN etc ) - tak istnieje - a skoro tak to nie należy tracić czujności w związku z tym co się może wydarzyć kiedy np ta odpowiedź DNS zostanie podmieniona i tutaj przechodzę punkt dalej -> jeśli jestem już czujny w związku z tym to obojętne z jakiego DNS korzystam na potrzeby przeglądania strony https , bo jeśli odpowiedź zostanie podmieniona to to po prostu ZAUWAŻĘ - a zauważę bo wdroże na swój komputer inne istotniejsze mechanizmy , zdecydowanie ważniejsze od posiadania VPN lub "bezpiecznego" DNS - jako przykład podam własną selekcją urzędów certyfikujących , z których korzystam do potwierdzania autentycznośći certyfikatów oraz nie pusty plik host w systemie windows. VPN dodatkowo usypia czujność przeciętnego użytkownika Sytuacja w której zna Pan się osobiście z administratorem ISP jest jednym z przykładów w których używanie VPN jest całkowicie uzasadnione - ale jakie trzeba mieć szczęście/pecha - żeby znaleźć się w takiej sytuacji ? Myślę ,że to jest promil z promila sytuacji ....a co jeśli by Pan znał osobiście admina nordVPN ? :-) - wtedy wiadomo - trzeba wybrać innego dostawcę usługi :) Co do Pana przykładu z jednym zbyt wrażliwym ISP ...no cóż - ludzie od RODO też powariowali i robią rzeczy , które z RODO nie mają nic wspólnego :) Ale to jest kolejny bardzo ciekawy wątek już taki bardziej prawny . Czy jeśli kupuję usługę dostępu do sieci Internet to czy mój ISP ma prawo mi blokować wybrane porty/połączenia ? Bo jeśli ISP blokuje mi dostęp np do DNS to nie mogę swobodnie skorzystać z usługi , którą kupiłem... a że dostęp do Internetu jest regulowany do ISP nie może robić co chce - musi być to zgodne z regulacjami. To samo tyczy się sytuacji w której ISP robi redirect DNS na swój - czy jest to zachowanie zgodne z literą prawa ? czy nie podchodzi to już pod "przestępstwo" w myśl niektórych przepisów ? Modyfikowanie oryginalnych treści takowym jest. Jestem po wielu godzinach rozmów w kuluarach z prawnikami - opinie nie są jednoznaczne , żadna taka sprawa nie trafiła na wokandę sondową ani w Polsce a nie w Europie co też pokazuje świadomość użytkowników konsumenckich ( w biznesie ta kwestia jest jasna - reguluje to umowa i zapisy mogą być dowolne ). Osobiście zrobiłem eksperyment i zgłosiłem reklamację do swojego ISP ( blokada korzystania z innych DNS ) , spławił mnie - powoływał się na ustawę hazardową etc. Zgłosiłem sprawe do Prezesa UKE jako odwołanie na wyczerpaną drogę reklamacyjną i skończyło się odblokowaniem możliwości korzystania z dowolnego DNS oraz zwrotem abonamentu za okresy kiedy miałem taki problem - to takie prywatne doświadczenie Naprawdę ma Pan telefon albo komputer ,który po OpenVPN potrafi przesłać 1g - gratuluje sprzętu ! :-) To jest trochę taki ogranicznik obliczeniowy - przy szybki łączu to właśnie VPN ogranicza nam przepustować :) Ja nie mówię ,że serwer VPN musi mieć Pan zterminowany w domu na domowym łączu - może przecież zrobić to na jakims chmurze hostingowej - VPS . Ale faktycznie jest to jakiś argument - mam w domu tylko 2 mbit upload - jak tu zrobić VPN- zawsze można pójść na kompromis i zrobić tego VPN na potrzeby newraligycznych połączeń , ssh,telnet, DNS etc ...a 443 puścic poza VPN - bo przecież to i tak jest już dobrze szyforwane i po co ma jeszcze lecieć przez dodatkwy kanał VPN - w ramach zestawionego VPN nie musimy puszczać całego ruchu sieciowego , może to być selektywnie wybrany - ja tak robię . Żeby nie było - nie twierdze ,że VPN jest zły - zawsze jest to coś ekstra , kolejny klocek ...a klocek do klocka i się buduje coś fajnego - ale zauważyłem ,że sporo osób błędnie zakłada ,że VPN im zalatwia wszystko i są bezpieczne jak również błędnie zakładają ,że VPN podnosi bezpieczeństwo niektórych usług kiedy w praktyce wcale tego nie robi. Np - nie no moje e-mail są zaszyfrowane, nikt nie może ich odczytać bo używam NordVPN - nie , nie , nie i jeszcze raz nie - nie używasz szyfrowania w tranzycie, twój login i hasło do serwera pocztowego leci tekstem otwartym i VPN tego nie zmienił ! - jak to nie zmienił - przecież VPN szyfruje wszystko ....tak na stronie pisze ,że teraz moje email są bezpieczne bo zaszyfrowane.

[@siwybytom95]

Ja tylko wrzucę swoje 3gr co do NordVPN - ale koniec końców komuś trzeba zaufać. Co do OVPN na VPS - #Polecam #Korzystam. Google cloud (za darmo 300$ :P) mikro vps i apka na telefonie + skonfigurowany na routerze :)

[@intersowa1970]

DoH czy też DoT pomoże przekonać do korzystania z infrastruktury cloudowej niestety.

[@lampkabiurkowa6502]

"The support for DoH/DoT filtering in FortiOS currently is under evaluation." Więc jednak dostrzegają możliwość jakieś implementacji tak to rozumiem (poza podmianą certyfikatów). Póki co jest dosyć oczywisty workaround czyli drop tcp 443 i 853 do powszechnie znanych dostawców doh/dot. (żródło: kb.fortinet.com/kb/documentLink.do?externalID=FD45370 )