Forum: [MOD] Tomato by shibby

Cytat

jack78 napisał(a):

A to może takie lamerskie pytanie.
Nie mam aktywnego ani DNSCRYPT ani OPENDNS, a korzystam z DDNS no-ip. Do czego wykorzystuje się te dwie funkcje, skoro DDNS działa bez nich?

DDNS to funkcja, które pozwala przypisać nazwę np ja.no-ip.org do adresu IP jaki nada przykładowo Neostrada po restarcie. Po to żeby dało się wejść do routera w domu musisz znać jego zewnętrzny IP ale go nie znasz, bo się zmienia. Po to przypisujesz mu domenę w no-ip żeby z ZEWNĄTRZ dostać się do routera/strony www na swoim routerze czy co tam sobie ustawisz.
Jest to coś co zapewnia połączenie do CIEBIE z ZEWNĄRZ, z internetu, od strony WAN gdy masz zmienny adres IP nadawany przez np. Neostradę..

Natomiast DNSCRYPT + OPENDNS to coś innego. Włączasz sobie w Advanced przechwytywanie portu 53 i włączasz żeby router był lokalnym serwerem DNS dla sieci wewnętrznej. Kompy i tablety będą miały podany przez DHCP 192.168.1.1 jako serwer DNS, a nie adresy tepsy czy tam operatora jakiego tam masz. Statycznie musisz sobie go sam wpisać 192.168.1.1.
Ale ale !
Teraz włączasz DNSCRYPT + OPENDNS aby nasz router sam się karmił odpowiedziami nadrzędnego serwera DNS ale nie od Neostrady tylko poprzez szyfrowany tunel do sieci serwerów OPENDNS z włączonym szyfrowaniem DNSCRYPT. W trzech słowach to taki jakby https dla DNS, tunel szyfrowany.

1. Operator nie widzi jakie zapytania DNS robią użytkownicy twojej sieci przez co masz mniej logów na siebie w razie "W". Operatorzy logują przede wszystkim zapytania. A tak będzie tylko jedno połączenie szyfrowane do jednego z serwerów OPENDNS.
Na przykład jesteś księdzem i wpisujesz adres strony gejowskiej. Oczywiście chcesz aby to było dyskretne aby nikt się nie dowiedział. Zapytanie typu "pod jakim adresem IP jest geje.com?". To leci szyfrowanym tunelem. Dostajesz odpowiedź że ta strona jest na tym a tym adresie IP ale ten adres należy do amazonaws albo innego dużego operatora verizon czy cokolwiek i wszystko jest ładnie. Dalej już wchodzisz z przeglądarki na https:// do Apacza czy NGINX'a na którym stoi tysiąc innych domen. I dalej co robisz też jest zaszyfrowane. Nie widać z kim umawiasz sie na randkę ani na jakiej stronie z tego tysiąca jesteś.
Nie bez powodu dałem taki przykład. Taka wiedza może skutkować tym, że dany ksiądz będzie szantażowany lub zmuszany do współpracy.

2. W razie akcji typu chociażby "przecieki" operator może próbować zbanować zapytania DNS-owe do konkretnych hostów na wniosek władzy aby na szybko, większości mniej obeznanej, odciąć dostęp do materiałów i treści. Pamiętamy wybryki Erdogana i napisy na murach 8.8.8.8 ?

3. Spada znacznie ryzyko celowego przekierowania przeglądarki do strony z wirusami przez władzę lub przestępcę gdyż nie będzie już tak prosto. Normalnie wystarczy zmiana w DNS u operatora.

Używając OPENDNS z DNSCRYPT operator będzie widział tylko jedno połączenie, a wiarygodność połączenia gwarantują certyfikaty RSA zasztre w Tomato i w serwerach OPENDNS.
Jedyną osobą która by mogła zmienić certyfikaty jest Shibby w czasie kompilacji lub ktoś mógłby podmienić plik w czasie ściągania lub nawet na serwerze u Shibbiego, wyedytować hex edytorem co nieco i wgrać zabugowany firmware
.
Dobrze by się stało aby były hasze plików z Tomato aby osoby szczególnie narażone, dziennikarze, aktywiści mogli przed upgrejdem zweryfikować MD5 czy SHA256 wgrywanego firmware.

Po to między innymi mamy w Tomato sieć Tor oraz usługi typu lokalny DNS + korzystaj z serwerów OPENDNS + korzystaj w sposób szyfrowany DNSCRYPT.

Ale IPv6 to samo zło. Teraz mamy NAT/Masquerade, mamy setki stron www na tym samym adresie IP. Jak wejdzie IPv6 to każdy każdego natychmiast zidentyfikuje. Ksiądz nie wyłga się, że ze swojego komputera na plebanii łączył się do strony gejowskiej. IPv6 to samo zło jak na razie.

Jasne?