Slo-Tech - Cloudflare, največji ponudnik omrežja za dostavljanje vsebin (CDN) na svetu, je tudi v Sloveniji postavil strežnike, ki odgovarjajo na poizvedbe DNS na naslovu 1.1.1.1. S tem je odzivni čas najkrajši možni, brskanje po spletu z uporabo teh DNS-jev pa v Sloveniji zelo hitro. Preizkusi kažejo, da se odzovejo v nekaj milisekundah, če vključimo tudi infrastrukturo na uporabnikovi strani.
Poleg strežnika 1.1.1.1, ki bolj ali manj nekritično odgovarja na naše poizvedbe, poznamo Cloudflare nudi tudi 1.1.1.2 in 1.1.1.3. Prvi odfiltrira škodljive domene, s katerih na primer potekajo napadi phishing in podobno, drugi pa poleg tega preprečuje še dostop do strani, ki vsebujejo za otroke neprimerne vsebine.
Uporabljam Cloudflare 1.1.1.1 prek DoH, tako da je DNS promet šifriran in ne gre več čez ISP-jev resolver. To reši DNS hijacking, DNS spoofing in DPI na DNS nivoju. Ampak to ne pomeni, da je promet "skrit", ker brskalnik pri HTTPS povezavi še vedno pošlje SNI v nešifriranem TLS ClientHello. ISP tako še vedno vidi, katero domeno odpiram, samo DNS poizvedbe ne vidi več.
SNI bi bil skrit šele, če bi stran podpirala ECH (Encrypted Client Hello). ECH je naslednik ESNI in šifrira celoten ClientHello, vključno s SNI. Ko bo več strani prešlo na ECH, bo kombinacija DoH + ECH dejansko pomenila zasebnost pred ISP-jem. Trenutno pa je edina rešitev za popolno skrivanje prometa pred ISP-jem VPN.
Uporabljam Cloudflare 1.1.1.1 prek DoH, tako da je DNS promet šifriran in ne gre več čez ISP-jev resolver. To reši DNS hijacking, DNS spoofing in DPI na DNS nivoju. Ampak to ne pomeni, da je promet "skrit", ker brskalnik pri HTTPS povezavi še vedno pošlje SNI v nešifriranem TLS ClientHello. ISP tako še vedno vidi, katero domeno odpiram, samo DNS poizvedbe ne vidi več.
SNI bi bil skrit šele, če bi stran podpirala ECH (Encrypted Client Hello). ECH je naslednik ESNI in šifrira celoten ClientHello, vključno s SNI. Ko bo več strani prešlo na ECH, bo kombinacija DoH + ECH dejansko pomenila zasebnost pred ISP-jem. Trenutno pa je edina rešitev za popolno skrivanje prometa pred ISP-jem VPN.
Uporabljam Cloudflare 1.1.1.1 prek DoH, tako da je DNS promet šifriran in ne gre več čez ISP-jev resolver. To reši DNS hijacking, DNS spoofing in DPI na DNS nivoju. Ampak to ne pomeni, da je promet "skrit", ker brskalnik pri HTTPS povezavi še vedno pošlje SNI v nešifriranem TLS ClientHello. ISP tako še vedno vidi, katero domeno odpiram, samo DNS poizvedbe ne vidi več.
SNI bi bil skrit šele, če bi stran podpirala ECH (Encrypted Client Hello). ECH je naslednik ESNI in šifrira celoten ClientHello, vključno s SNI. Ko bo več strani prešlo na ECH, bo kombinacija DoH + ECH dejansko pomenila zasebnost pred ISP-jem. Trenutno pa je edina rešitev za popolno skrivanje prometa pred ISP-jem VPN.
EDINI nikakor ni (VPN namrec), za TOR si gotovo ze slisal, kajne?
Uporabljam Cloudflare 1.1.1.1 prek DoH, tako da je DNS promet šifriran in ne gre več čez ISP-jev resolver. To reši DNS hijacking, DNS spoofing in DPI na DNS nivoju. Ampak to ne pomeni, da je promet "skrit", ker brskalnik pri HTTPS povezavi še vedno pošlje SNI v nešifriranem TLS ClientHello. ISP tako še vedno vidi, katero domeno odpiram, samo DNS poizvedbe ne vidi več.
SNI bi bil skrit šele, če bi stran podpirala ECH (Encrypted Client Hello). ECH je naslednik ESNI in šifrira celoten ClientHello, vključno s SNI. Ko bo več strani prešlo na ECH, bo kombinacija DoH + ECH dejansko pomenila zasebnost pred ISP-jem. Trenutno pa je edina rešitev za popolno skrivanje prometa pred ISP-jem VPN.
EDINI nikakor ni (VPN namrec), za TOR si gotovo ze slisal, kajne?
Imaš prav sem pozabil na TOR. Drugače je kar nekaj zanimivih DNS (poleg Cludflare): ControlD, Google DNS, Quad9, itd
Rezultati so lahko relativni glede na metode, sem nekoč nameščal neko aplikacijo (DNS Benchmark?), se mi je sedaj ne ljubi nameščat.
Chuck Norris je med števili 0.999... in 1 uspel vriniti konstanto imenovano CN.
James Bond je že pred časi mislil, da bo prišel na zeleno vejo in chillal.
#65W!
Uporabljam Cloudflare 1.1.1.1 prek DoH, tako da je DNS promet šifriran in ne gre več čez ISP-jev resolver. To reši DNS hijacking, DNS spoofing in DPI na DNS nivoju. Ampak to ne pomeni, da je promet "skrit", ker brskalnik pri HTTPS povezavi še vedno pošlje SNI v nešifriranem TLS ClientHello. ISP tako še vedno vidi, katero domeno odpiram, samo DNS poizvedbe ne vidi več.
SNI bi bil skrit šele, če bi stran podpirala ECH (Encrypted Client Hello). ECH je naslednik ESNI in šifrira celoten ClientHello, vključno s SNI. Ko bo več strani prešlo na ECH, bo kombinacija DoH + ECH dejansko pomenila zasebnost pred ISP-jem. Trenutno pa je edina rešitev za popolno skrivanje prometa pred ISP-jem VPN.
EDINI nikakor ni (VPN namrec), za TOR si gotovo ze slisal, kajne?
ToR - a ni to honeypot. Trenutno mi DoH deluje še najbolje. Če uporabim DNS od ISPa, mi določene stvari ne delajo (odpre). Bom pa potestiral še xxx.1 in xxx.2 . Je tale ECH že kje za porbat?
No in pol pravijo da naj vsi damo svojo osebno zasebnim podjetjem namest da bi enostavno otrokom dal 1.1.1.3 za DNS pa da bi bil mir. Bi pač družabna omrežja se zmenila z DNS strežniki da če gre za 1.1.1.3 bi DNS strežnik podal malenkost drugačno lokacijo ki bi bila prilagojena za otroke.
Par ms bi že moral pridobit. Lahko pa sam testiraš.
Chuck Norris je med števili 0.999... in 1 uspel vriniti konstanto imenovano CN.
James Bond je že pred časi mislil, da bo prišel na zeleno vejo in chillal.
#65W!
tracert 1.1.1.1
Tracing route to one.one.one.one [1.1.1.1]
over a maximum of 30 hops:
1 <1 ms <1 ms <1 ms SERVER [192.168.0.1]
2 <1 ms <1 ms <1 ms 84.255.208.214
3 <1 ms <1 ms <1 ms 84-255-209-158.core.t-2.net [84.255.209.158]
4 <1 ms <1 ms <1 ms 84-255-209-150.core.t-2.net [84.255.209.150]
5 1 ms 1 ms 1 ms 91.220.194.44
6 2 ms 2 ms 2 ms one.one.one.one [1.1.1.1]
Trace complete.
Triera DOCSIS 3.1 (Telemach) (Maribor TABOR):
tracert 1.1.1.1
Tracing route to one.one.one.one [1.1.1.1]
over a maximum of 30 hops:
1 8 ms 6 ms 7 ms 10.225.0.1
2 7 ms 6 ms 6 ms 185.72.62.5
3 6 ms 8 ms 8 ms one.one.one.one [1.1.1.1]
Trace complete.
Uporabljam Cloudflare 1.1.1.1 prek DoH, tako da je DNS promet šifriran in ne gre več čez ISP-jev resolver. To reši DNS hijacking, DNS spoofing in DPI na DNS nivoju. Ampak to ne pomeni, da je promet "skrit", ker brskalnik pri HTTPS povezavi še vedno pošlje SNI v nešifriranem TLS ClientHello. ISP tako še vedno vidi, katero domeno odpiram, samo DNS poizvedbe ne vidi več.
SNI bi bil skrit šele, če bi stran podpirala ECH (Encrypted Client Hello). ECH je naslednik ESNI in šifrira celoten ClientHello, vključno s SNI. Ko bo več strani prešlo na ECH, bo kombinacija DoH + ECH dejansko pomenila zasebnost pred ISP-jem. Trenutno pa je edina rešitev za popolno skrivanje prometa pred ISP-jem VPN.
Bojim se, da tukaj delate hudo napako.
Use case celotnega DOH (...) je prikrivanje informacij ameriskim ISPjem, ki so totalni pokvarjenci, okrog prodajajo od informacij o prometu, do profiliranja uporabnikov.
V Sloveniji, ki je delezna EU zascite podatkov, tega problema ni.
Tako, da je uporaba nekega 3rd party resolverja, sploh ameriskega, dejansko hujsi problem, kot, ce preprosto zaupas ISPju.
Če koga zanima povezava SDSa in fašizma, je tule lepo utemeljeno:
https://slo-tech.com/forum/t807066/p8658061#p8658061
"kot, ce preprosto zaupas ISPju " Pa misliš, da ma tvoj ISP fizičen resolver - ponavadi doda samo svoj hop (pa kak vtič) pa lepo na google. Šment, je ko zadeva ne špila -ali pa predolgo resolva, ali pa ti zarad nevem česa ne streže teb ustrezne stvari. Pol pa iščeš druge rešitve. Trenutno JE DoH še najbolj prebavljiv. Če maš možnost ga nastaviš na routerju +maxsecure - da ti ne skače drugam, ali pa v samem OS. Včasih pa dodaš še PiHole na localu.
Sem mali provokator, po potrebi diktator, dvomim v vse in nič ne vem.
Marsikdaj se motim, zato prosim me popravi.
A ima kdo lasten DNS server doma, tudi ko je od doma?
Hlapci! Za hlapce rojeni, za hlapce vzgojeni, ustvarjeni za hlapčevanje.
Gospodar se menja, bič pa ostane, in bo ostal za vekomaj; zato, ker je hrbet
skrivljen, biča vajen in željan! [Ivan Cankar]
"kot, ce preprosto zaupas ISPju " Pa misliš, da ma tvoj ISP fizičen resolver - ponavadi doda samo svoj hop (pa kak vtič) pa lepo na google. Šment, je ko zadeva ne špila -ali pa predolgo resolva, ali pa ti zarad nevem česa ne streže teb ustrezne stvari. Pol pa iščeš druge rešitve. Trenutno JE DoH še najbolj prebavljiv. Če maš možnost ga nastaviš na routerju +maxsecure - da ti ne skače drugam, ali pa v samem OS. Včasih pa dodaš še PiHole na localu.
Vsi naši ISP imajo lastne strežnike. Pa saj to ni neka huda znanost. Mi je pa zanimivo, da se:
promovira in uporablja US storitve in strežnike, zagovarja US storitev, kot nekaj boljšega v primerjavi z našimi DNS strežniki operaterjev, še vedno ne objavlja IPv6 naslovov https://developers.cloudflare.com/1.1.1...
"kot, ce preprosto zaupas ISPju " Pa misliš, da ma tvoj ISP fizičen resolver - ponavadi doda samo svoj hop (pa kak vtič) pa lepo na google.
Neumnost, tole si si gladko izmislil. Naši ISP-ji seveda imajo svoje fizične resolverje.
Zadeva je s tehničnega vidika tako trivialna, da bi ga pravzaprav vsak lahko imel zase na svojem omrežju, če bi ga hotel imeti. Ali na svojem računalniku/laptopu, zgolj zase. Samo ne ga javno odpreti za dostop od zunaj.
promovira in uporablja US storitve in strežnike ...
Na žalost. Sploh vohljaške pasti, kot sta Cloudflare in Google.
Cloudflare je trojanski konj namenjen uničenju in nadzoru še koliko toliko svobodnega spleta, pa ga folk dostikrat uporablja brez kakršnega koli zavedanja, kaj to je.
Opažam vse več običajnih strani, ki niti nič od tega kar Cloudflare na papirju "ponuja" ne potrebujejo, pa jih nevedni izdelovalci/vzdrževalci strani spravijo v uporabo tega crapa. "Zanimivo" je daleč premil izraz za tako početje.
Sodeč po temle, a ma IPv6?? The standard resolver provides fast, private DNS lookups with no content filtering. IPv4 IPv6 1.1.1.1 2606:4700:4700::1111 1.0.0.1 2606:4700:4700::1001 Refer to Encryption to learn how to encrypt your DNS queries.
Od kod pa domači ISPji polnijo svoje fizične DNS? sinhronizirajo? in zakaj določene stvari ne resolvajo? Za DoH ni treba vzet 1.x.x.x mašaš tut druge. Moj ISP ne podpira DoH (vsaj trenutno NE, tut IPv6 NE podpira) Pri nas mamo https://public-dns.info/nameserver/si.h... in sam peščica podpira DNSSEC.
Sem mali provokator, po potrebi diktator, dvomim v vse in nič ne vem.
Marsikdaj se motim, zato prosim me popravi.
Mene pa moti, da nekateri samo jamrajo, ne prepoznajo pa dobrih kompromisov. Pa naj se hvali cloud9, dobra reputacija, pri nas top hitrost razreševanja, verjetno pa tudi ta ni 100% vodotesen za tiste, ki bi počeli prevelike pizdarije.
Chuck Norris je med števili 0.999... in 1 uspel vriniti konstanto imenovano CN.
James Bond je že pred časi mislil, da bo prišel na zeleno vejo in chillal.
#65W!
"kot, ce preprosto zaupas ISPju " Pa misliš, da ma tvoj ISP fizičen resolver - ponavadi doda samo svoj hop (pa kak vtič) pa lepo na google. Šment, je ko zadeva ne špila -ali pa predolgo resolva, ali pa ti zarad nevem česa ne streže teb ustrezne stvari. Pol pa iščeš druge rešitve. Trenutno JE DoH še najbolj prebavljiv. Če maš možnost ga nastaviš na routerju +maxsecure - da ti ne skače drugam, ali pa v samem OS. Včasih pa dodaš še PiHole na localu.
DoH je v tem primeru neumnost, se enkrat, pravno zascito EU, si zamenjal za ameriske korporacije, po principu "trust me bro".
Varnost je sicer cisto ok stvar, problem je, ce ne ves cesa se moras bati in pred kom se varujes.
In tukaj je absolutno najvecji zlikovec kakrsnakoli ameriska korporacija, sploh oglasevalske firme, kot google. Ali VPN providerji, ki ti preko svojega custom clienta (le poglejte si, ali vasi VPNji podpirajo wireguard direktno, brez njihovega softwarja), vtaknejo se svoj CA, da lahko pridno MITMajo tvoje povezave.
Ce bi pa bil v ZDA, bi se pa absolutno najbolj bal ISPjev, ampak NISI V ZDA, ceprav beres njihove clanke o varovanju pred ISPji.
Če koga zanima povezava SDSa in fašizma, je tule lepo utemeljeno:
https://slo-tech.com/forum/t807066/p8658061#p8658061
kot je omenil joe - naši ISPji definitivno danes uporabljajo f00kload ameriških storitev. Ne samo DNS "višje gor" ampak tudi celega fuka analitike, interne podpore, kjer letijo potem tvoji Ipji v deželo plešastih orlov. Zelo malo imajo lastne robe pod dejansko lastno kontrolo. Še celo TS, da o ostalih ne bi.
In ne veš kaj in koliko točno, tako da zaupati ISPju s tega stališča je zaupati neznanemu.
To se pa lahko dosti pripiše ITijevcem, ki po liniji najmanjšega odpora delajo copy-paste, brez da bi preverili, kaj je v ozadju, se niti ne trudijo iskati ali narediti drugih rešitev brez "kjer letijo potem tvoji Ipji v deželo plešastih orlov."
Učite se iz preteklosti, živite v sedanjosti in razmišljajte o prihodnosti.
PS Ne odgovarjam trolom in provokatorjem!
Gremo raje kar svoj paralelni internet narest ... in zaukazat njegovo uporabo, tko po rusko
Veš kolk overlay networkov že obstaja in kako popularni so?
Ti pa iz ene skrajnosti v drugo in po ovinkih podtikanje! Ja marsikaj obstaja, samo je potrebno malo več truda to poiskati, preveriti kaj počne in ustrezno implementirati.
Učite se iz preteklosti, živite v sedanjosti in razmišljajte o prihodnosti.
PS Ne odgovarjam trolom in provokatorjem!
To je že staro, HWID se uporablja že vsaj nekaj desetletij (licence), je bolj zanesliv kot mac. Da so ga stisnli, JE pa čist prav - bolj bi blo težava, če bi ga odstranili. Tut vsak telefon ma IMEI in indefikacijsko ID - od providerja. Pa smo zaenkrat še živi. Tole z DoH je bolj kot rjuha pred nezaželjenimi pogledi. Če se nekdo polno zanima zate, te bo spremljal - sam mal več dela bo mes s tem. Tut če se uvede popolna enkripcija prometa - se snifer preseli na tipkovnico - zaslon - tu ni pomoči. Pač bodimo pridni . Pa ne si mislit - da ostali OSi ne oddajajo fingerprint.
Sem mali provokator, po potrebi diktator, dvomim v vse in nič ne vem.
Marsikdaj se motim, zato prosim me popravi.
To je že staro, HWID se uporablja že vsaj nekaj desetletij (licence), je bolj zanesliv kot mac. Da so ga stisnli, JE pa čist prav - bolj bi blo težava, če bi ga odstranili. Tut vsak telefon ma IMEI in indefikacijsko ID - od providerja. Pa smo zaenkrat še živi. Tole z DoH je bolj kot rjuha pred nezaželjenimi pogledi. Če se nekdo polno zanima zate, te bo spremljal - sam mal več dela bo mes s tem. Tut če se uvede popolna enkripcija prometa - se snifer preseli na tipkovnico - zaslon - tu ni pomoči. Pač bodimo pridni . Pa ne si mislit - da ostali OSi ne oddajajo fingerprint.
Saj je prav, da so ga ujeli. To sem napisal, ker se nekateri tako bojijo tujih DNS (češ da je treba imeti slovenske DNS). Meni 1.1.1.1 z DoH dela dobro in je odziven. Zato ga imam, ne zato da bi delal kaj problematičnega.
