Эмм, в России уже почти 10 лет как подменяют днс и сертификаты. Теперь везде в мире перенимают опыт, привыкай.

Сразу оговорюсь, я не спец по сетям, но насчёт днс-серверов могу сказать, что читал о новом клоудфларе (1.1.1.1).
У них запрос шифруется, но ответ идёт не шифрованный. В обсуждениях людям это не понравилось.
Если кто может расписать более детально - думаю все будут рады услышать. А то они пишут приватность бла-бла-бла...

Началось это не с РФ. Перед тем как что-то сказать, трижды стоит подумать, а после этого еще раз десять раз подумать)

Там же DNS over HTTPS, как ответ может быть нешифрованным?

Ставь DNSCrypt, он умеет все, что тебе нужно. Просто ставишь пакет под свою архитектуру, в wiki найдешь ответы на все свои вопросы.

Wiki: https://github.com/jedisct1/dnscrypt-proxy/wiki

Download: https://github.com/jedisct1/dnscrypt-proxy/releases

Молодец, взял и спалился провайдеру, что ты криптоонорхизд и твоя жопа хочет бутылки.

-DNSCrypt
-DNS-over-HTTPS
-DNS-over-TLS

DNSsec оказался слишком сложным, и его никто не осилил?

Кто-то использует провайдерские dns? Есть для этого причины?

забыл про него, навыдумывали стандартов

DNSCrypt умеет все это.

А зачем тогда остальные навыдумывали?

ну действительно, это про тебя

Так кого интересуют страны третьего мира? Тотальное внедрение MITM, с маскировкой под легитимность, в «правовом» государстве, насколько мне известно, началось с РФ и перешло на всех соседей. Это вам не Европа, где люди хотя бы возмущаются на грубые нарушения прав и свобод. В Азии всё можно. Менталитет-с.

Они быстрые и не лежат. Публичные типа 8.8.8.8 и сотни других (включая все корневые) тоже заворачиваются провайдером, но при этом лежат чаще чем нет.

В России не подменяют сертификаты.

Использую DNSCrypt почти полгода. Жалоб нет.

DNSSEC не обеспечивает приватности, только проверку подлинности.

Они быстрые и не лежат.

Эм, гугловские тоже быстрые и не лежат (не припомню падения лет за 8. по скорости тоже разница не велика)

+ Провайдеры используют блокировки по dns, а меня это не устраивает.

Ещё как подменяют. Смотри внимательней в следующий раз на то что тебе отдают и сравни хотя бы тут https://www.grc.com/fingerprints.htm

Это не новость на самом деле, ещё в 2010 что ли началось у самых разных провайдеров. Защита ДНС помогала от нелегитимных сертификатов раньше (только если он не подписан). Как думаешь сколько людей не получит поддельные серты? 99% интернета с MITM в РФ.

Все эти стандарты пока в экспериментальной стадии и развивались параллельно, но DNSCrypt именно _последней_ версии - это наиболее универсальное на данный момент решение, объединяющее все это. Все предпочтения можно задавать в его настройках, конфигурационный файл хорошо комментирован.

У гугловских домены 3 уровня сломаны 5 раз на месяц, больше ни у кого такой шляпы не было. И постоянно сайты перестают резолвится на несколько минут. Это очень заметно.

99% интернета с MITM в РФ

Как ты себе представляешь MITM современного HTTPS без воплей браузера о подмене?

Смотри внимательней в следующий раз на то что тебе отдают и сравни хотя бы тут https://www.grc.com/fingerprints.htm

УМВР, ЧЯДНТ?

Разберись в матчасти, что ли. Чтобы подменять сертификаты, нужно выпустить его от доверенного центра, также это не сработает для запиненных сертификатов. Как только доверенный центр выпустит такой сертификат, его корневой сертификат тут же отзовут и он перестанет работать. Это технически нереализуемо.

Ну, вообще это разные вещи. DNSSEC гарантирует только целостность данных (защита от подмены), но не конфиденциальность. А все эти днскрипты, насколько я понимаю, ориентированы в первую очередь на сокрытие запросов.

Никто не мешает положить сертификат в сборочки (собственно так и поступают), распространять с обновлениями, или подождать пока пользователь нажмёт «добавить в доверенные». И всё это делают последние 10 лет.

У гугловских домены 3 уровня сломаны 5 раз на месяц, больше ни у кого такой шляпы не было.

Какие dns прописать запасными? Свой поднимать?

Это очень заметно.

Не сталкивался. Хотя везде гугловские dns прописаны, но не припомню проблем.

никто не мешает квовавой геббебне проникнуть к тебе домой ночью пока спишь и не внедрить сертификатов.
хватит нести чушь.

Это твои фантазии. Хотели бы подменять, просто на сайте провайдера выложили бы корневые сертификаты и инструкции по их добавлению для разных ОС.

В среднем это выглядит как доверенный сертификат от cloudflare или comodo (я уж не буду про то где подписывают «утёкшими» валидными сертами, а так тоже делают).

С lets encrypt всё ещё печальней. Почему-то это считается нормой, следить куда ты ходишь и что ты читаешь.

DNSSEC гарантирует только целостность данных (защита от подмены), но не конфиденциальность. А все эти днскрипты, насколько я понимаю, ориентированы в первую очередь на сокрытие запросов.

Да, днскрипт ориентирован на сокрытие, но среди списка серверов можно выбрать поддерживающие DNSSEC.

Ну да, конечно. А резать запрещённые статьи в интернете они как по-твоему будут без MITM? Только если раньше он был из-за различного рода соседства, то теперь он повсюду. Да что там, почтовые сервера с ним.

Хаха, только что проверил, никаких красных окон не выдаёт. Энжой, что называется.

Какие dns прописать запасными? Свой поднимать?

Все, что идет на 53 в открытом виде по днс-протоколу, провайдер завернет на себя.

Зелёный замочек отключается через некоторое время после загрузки, видимо за этим в хром и добавили защиту от подобного. 100% вручную не добавлялись.

вот кстати DNSSEC я бы с осторожностью дома использовал.
маны systemd-resolved, но емнип там по дефолту включена деградация с ворнингами в лог. т.е. это нужно настраивать или вообще смысла нет.
а настроишь на рестрикт и получишь головной боли, т.к. оно ломается. просто молча ничего не работает или только определённый сайт.

ну вообще то не на свои, а на федеральных хранителей

dnscrypt-proxy v2 умеет всё что тебе нужно.

В «сборочки» и троян можно положить, и майнер, и все что угодно. Просто не надо ими пользоваться.

Так кого интересуют страны третьего мира?

ты сам начал разговор про Россию

Не надо, Россия — это «второй» мир.

Ну здрасьте. Блокируют весь домен, если HTTPS.