mirror of
https://github.com/LCTT/TranslateProject.git
synced 2024-12-26 21:30:55 +08:00
137 lines
7.4 KiB
Markdown
137 lines
7.4 KiB
Markdown
[#]: collector: (lujun9972)
|
||
[#]: translator: (wxy)
|
||
[#]: reviewer: (wxy)
|
||
[#]: publisher: (wxy)
|
||
[#]: url: (https://linux.cn/article-10533-1.html)
|
||
[#]: subject: (DNS and Root Certificates)
|
||
[#]: via: (https://lushka.al/dns-and-certificates/)
|
||
[#]: author: (Anxhelo Lushka https://lushka.al/)
|
||
|
||
DNS 和根证书
|
||
======
|
||
|
||
> 关于 DNS 和根证书你需要了解的内容。
|
||
|
||
由于最近发生的一些事件，我们（Privacy Today 组织）感到有必要写一篇关于此事的短文。它适用于所有读者，因此它将保持简单 —— 技术细节可能会在稍后的文章发布。
|
||
|
||
### 什么是 DNS，为什么它与你有关？
|
||
|
||
DNS 的意思是<ruby>域名系统<rt>Domain Name System</rt></ruby>，你每天都会接触到它。每当你的 Web 浏览器或任何其他应用程序连接到互联网时，它就很可能会使用域名。简单来说，域名就是你键入的地址：例如 [duckduckgo.com][1]。你的计算机需要知道它所导向的地方，会向 DNS 解析器寻求帮助。而它将返回类似 [176.34.155.23][2] 这样的 IP —— 这就是连接时所需要知道的公开网络地址。 此过程称为 DNS 查找。
|
||
|
||
这对你的隐私、安全以及你的自由都有一定的影响：
|
||
|
||
#### 隐私
|
||
|
||
由于你要求解析器获取域名的 IP，因此它会确切地知道你正在访问哪些站点，并且由于“物联网”（通常缩写为 IoT），甚至它还知道你在家中使用的是哪个设备。
|
||
|
||
#### 安全
|
||
|
||
你可以相信解析器返回的 IP 是正确的。有一些检查措施可以确保如此，在正常情况下这一般不是问题。但这些可能措施会被破坏，这就是写作本文的原因。如果返回的 IP 不正确，你可能会被欺骗引向了恶意的第三方 —— 甚至你都不会注意到任何差异。在这种情况下，你的隐私会受到更大的危害，因为不仅会被跟踪你访问了什么网站，甚至你访问的内容也会被跟踪。第三方可以准确地看到你正在查看的内容，收集你输入的个人信息（例如密码）等等。你的整个身份可以轻松接管。
|
||
|
||
#### 自由
|
||
|
||
审查通常是通过 DNS 实施的。这不是最有效的方法，但它非常普遍。即使在西方国家，它也经常被公司和政府使用。他们使用与潜在攻击者相同的方法；当你查询 IP 地址时，他们不会返回正确的 IP。他们可以表现得就好像某个域名不存在，或完全将访问指向别处。
|
||
|
||
### DNS 查询的方式
|
||
|
||
#### 由你的 ISP 提供的第三方 DNS 解析器
|
||
|
||
大多数人都在使用由其互联网接入提供商（ISP）提供的第三方解析器。当你连接调制解调器时（LCTT 译注：或宽带路由器），这些 DNS 解析器就会被自动取出，而你可能从来没注意过它。
|
||
|
||
#### 你自己选择的第三方 DNS 解析器
|
||
|
||
如果你已经知道 DNS 意味着什么，那么你可能会决定使用你选择的另一个 DNS 解析器。这可能会改善这种情况，因为它使你的 ISP 更难以跟踪你，并且你可以避免某些形式的审查。尽管追踪和审查仍然是可能的，但这种方法并没有被广泛使用。
|
||
|
||
#### 你自己（本地）的 DNS 解析器
|
||
|
||
你可以自己动手，避免使用别人的 DNS 解析器的一些危险。如果你对此感兴趣，请告诉我们。
|
||
|
||
### 根证书
|
||
|
||
#### 什么是根证书？
|
||
|
||
每当你访问以 https 开头的网站时，你都会使用它发送的证书与之通信。它使你的浏览器能够加密通信并确保没有人可以窥探。这就是为什么每个人都被告知在登录网站时要注意 https（而不是 http）。证书本身仅用于验证是否为某个域所生成。以及：
|
||
|
||
这就是根证书的来源。可以其视为一个更高的级别，用来确保其下的级别是正确的。它验证发送给你的证书是否已由证书颁发机构授权。此权限确保创建证书的人实际上是真正的运营者。
|
||
|
||
这也被称为信任链。默认情况下，你的操作系统包含一组这些根证书，以确保该信任链的存在。
|
||
|
||
#### 滥用
|
||
|
||
我们现在知道：
|
||
|
||
* DNS 解析器在你发送域名时向你发送 IP 地址
|
||
* 证书允许加密你的通信，并验证它们是否为你访问的域生成
|
||
* 根证书验证该证书是否合法，并且是由真实站点运营者创建的
|
||
|
||
**怎么会被滥用呢？**
|
||
|
||
* 如前所述，恶意 DNS 解析器可能会向你发送错误的 IP 以进行审查。它们还可以将你导向完全不同的网站。
|
||
* 这个网站可以向你发送假的证书。
|
||
* 恶意的根证书可以“验证”此假证书。
|
||
|
||
对你来说，这个网站看起来绝对没问题；它在网址中有 https，如果你点击它，它会说已经通过验证。就像你了解到的一样，对吗？**不对！**
|
||
|
||
它现在可以接收你要发送给原站点的所有通信。这会绕过想要避免被滥用而创建的检查。你不会收到错误消息，你的浏览器也不会发觉。
|
||
|
||
**而你所有的数据都会受到损害！**
|
||
|
||
### 结论
|
||
|
||
#### 风险
|
||
|
||
* 使用恶意 DNS 解析器总是会损害你的隐私，但只要你注意 https，你的安全性就不会受到损害。
|
||
* 使用恶意 DNS 解析程序和恶意根证书，你的隐私和安全性将完全受到损害。
|
||
|
||
#### 可以采取的动作
|
||
|
||
**不要安装第三方根证书！**只有非常少的例外情况才需要这样做，并且它们都不适用于一般最终用户。
|
||
|
||
**不要被那些“广告拦截”、“军事级安全”或类似的东西营销噱头所吸引**。有一些方法可以自行使用 DNS 解析器来增强你的隐私，但安装第三方根证书永远不会有意义。你正在将自己置身于陷阱之中。
|
||
|
||
### 实际看看
|
||
|
||
**警告**
|
||
|
||
有位友好的系统管理员提供了一个现场演示，你可以实时看到自己。这是真事。
|
||
|
||
**千万不要输入私人数据！之后务必删除证书和该 DNS！**
|
||
|
||
如果你不知道如何操作，那就不要安装它。虽然我们相信我们的朋友，但你不要随便安装随机和未知的第三方根证书。
|
||
|
||
#### 实际演示
|
||
|
||
链接在这里：<http://https-interception.info.tm/>
|
||
|
||
* 设置所提供的 DNS 解析器
|
||
* 安装所提供的根证书
|
||
* 访问 <https://paypal.com> 并输入随机登录数据
|
||
* 你的数据将显示在该网站上
|
||
|
||
### 延伸信息
|
||
|
||
如果你对更多技术细节感兴趣，请告诉我们。如果有足够多感兴趣的人，我们可能会写一篇文章，但是目前最重要的部分是分享基础知识，这样你就可以做出明智的决定，而不会因为营销和欺诈而陷入陷阱。请随时提出对你很关注的其他主题。
|
||
|
||
这篇文章来自 [Privacy Today 频道][3]。[Privacy Today][4] 是一个关于隐私、开源、自由哲学等所有事物的组织！
|
||
|
||
所有内容均根据 CC BY-NC-SA 4.0 获得许可。（[署名 - 非商业性使用 - 共享 4.0 国际][5]）。
|
||
|
||
--------------------------------------------------------------------------------
|
||
|
||
via: https://lushka.al/dns-and-certificates/
|
||
|
||
作者：[Anxhelo Lushka][a]
|
||
选题：[lujun9972][b]
|
||
译者：[wxy](https://github.com/wxy)
|
||
校对：[wxy](https://github.com/wxy)
|
||
|
||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||
|
||
[a]: https://lushka.al/
|
||
[b]: https://github.com/lujun9972
|
||
[1]: https://duckduckgo.com
|
||
[2]: http://176.34.155.23
|
||
[3]: https://t.me/privacytoday
|
||
[4]: https://t.me/joinchat/Awg5A0UW-tzOLX7zMoTDog
|
||
[5]: https://creativecommons.org/licenses/by-nc-sa/4.0/
|