Mullvad chuyển máy chủ DNS mã hóa sang chạy trên RAM
(mullvad.net)- Mullvad đã chuyển cả dịch vụ DNS mã hóa riêng sang vận hành trên RAM, sau khi loại bỏ dấu vết trên đĩa khỏi hạ tầng VPN
- Mã hóa truy vấn DNS trên các thiết bị không kết nối VPN, khiến bên thứ ba khó theo dõi nội dung tra cứu giữa thiết bị và máy chủ DNS của Mullvad
- Dịch vụ này có thể dùng miễn phí kể cả khi không phải khách hàng trả phí, dành cho những ai muốn dùng DNS đã được kiểm toán cùng chặn nội dung tùy chọn
- Cung cấp máy chủ toàn cầu và hướng dẫn cấu hình, nhưng không được khuyến nghị khi dùng cùng VPN vì luôn chậm hơn bộ phân giải DNS của máy chủ VPN đang kết nối
- Máy chủ Encrypted DNS cũng dùng cùng nhân Linux và các thiết lập bảo mật và quyền riêng tư như hạ tầng VPN, tiếp tục định hướng vận hành hạ tầng không trạng thái trên RAM
Encrypted DNS cũng chuyển sang nền tảng RAM
- Mullvad gần đây đã hoàn tất quá trình di trú để loại bỏ dấu vết trên đĩa đang được sử dụng trong hạ tầng VPN
- Với lần chuyển đổi này, dịch vụ Encrypted DNS cũng được thay đổi để chạy trên RAM
- Đây là bước tiếp theo trong nỗ lực của Mullvad nhằm vận hành hạ tầng không trạng thái trên RAM
Cách mã hóa truy vấn DNS
- Encrypted DNS còn được biết đến với tên DNS over TLS và DNS over HTTPS
- Khi không kết nối tới dịch vụ VPN, nó mã hóa các truy vấn DNS giữa thiết bị và máy chủ DNS của Mullvad
- Cách này được dùng để ngăn bên thứ ba nghe lén các truy vấn DNS
Đối tượng sử dụng và các giới hạn thực tế
- Dịch vụ này chủ yếu được dùng khi không kết nối tới máy chủ Mullvad VPN
- Có thể sử dụng hoàn toàn miễn phí bất kể có phải khách hàng trả phí hay không
- Bất kỳ ai muốn dùng dịch vụ Encrypted DNS đáng tin cậy, đã được kiểm toán và chặn nội dung tùy chọn đều có thể sử dụng
- Dịch vụ được cung cấp từ các máy chủ đặt trên toàn thế giới và có thể cấu hình bằng hướng dẫn thiết lập trên website của Mullvad
- Có thể dùng cùng dịch vụ VPN, nhưng không được khuyến nghị vì luôn chậm hơn so với việc dùng bộ phân giải DNS của máy chủ VPN đang kết nối
Cấu hình bảo mật đồng bộ với hạ tầng VPN
- Tất cả máy chủ Encrypted DNS đều được cấu hình với cùng nhân Linux như hạ tầng VPN
- Mức độ bảo mật và quyền riêng tư cũng được căn chỉnh giống hệt hạ tầng VPN
1 bình luận
Ý kiến trên Hacker News
DNS mã hóa của Mullvad có thể được bất kỳ ai sử dụng, bất kể có dùng VPN trả phí hay không
Ngoài ra còn hỗ trợ chặn nội dung tùy chọn thông qua danh sách chặn, nên chỉ cần thiết lập máy chủ DNS TLS/HTTPS mong muốn là được
[1] https://github.com/mullvad/dns-blocklists
.mobileconfig) sẽ không hoạt động nếu bạn dùng Little Snitch hoặc Lulu để chặn lưu lượng mạng không mong muốnĐây là một hạn chế của macOS mà Apple vẫn chưa sửa
Để truy cập một trang web nào đó thì phải lấy IP qua DNS, và ISP hoặc nhà cung cấp VPN có thể thấy việc tôi kết nối tới IP đó, dù họ vừa tra cứu hay đã biết từ trước
Trừ khi mô hình là dùng VPN nhưng DNS lại bị rò rỉ sang một bên nào đó có ghi log, tôi không hiểu rõ vì sao cần thứ này
Tôi tò mò đây là máy chủ vật lý hay VM
Một số loại VM có thể bị tạm dừng, snapshot, sao chép, sao chép thời gian thực, bao gồm cả nội dung bộ nhớ, chẳng hạn để đáp ứng yêu cầu hợp pháp; còn trên host bare metal thì có thể truy cập vào bên trong VM hoặc container
Không biết có sơ đồ cấu hình vật lý nào được công bố không
Nếu có kiến trúc sư của Mullvad ở đây, mong họ giúp tránh sa vào các giả định lý thuyết và một chồng “rùa đội rùa” vô tận
https://www.system-transparency.org
Có các công cụ dùng eBPF để trích xuất luồng dữ liệu khi có yêu cầu, dựa trên những tham số cụ thể
Các công cụ như Sysdig/Falco cũng có thể làm được; sẽ hữu ích nếu biết họ có tự biên dịch kernel để vô hiệu hóa eBPF hay không, và có thực hiện thêm các biện pháp gia cố kernel để gỡ bỏ hoặc tắt tính năng debug khi có yêu cầu hay không
Khi đó sẽ không còn đối tượng nào để tạm dừng nữa
Với tư cách một người ngoài cuộc ngây thơ, tôi tò mò liệu RAM năm 2023 có mã hóa toàn bộ nội dung không?
Tôi muốn biết liệu có thể tắt nguồn để một khóa mã hóa nào đó nằm trong loại bộ nhớ nhỏ hơn và dễ bay hơi hơn biến mất, từ đó khiến nội dung RAM bị quên đi một cách đáng tin cậy hay không
Tôi cũng tò mò đã có những gì để giảm thiểu tấn công cold boot vào RAM, phần cứng đã thay đổi ra sao, và liệu khóa mã hóa nội dung RAM có được lưu ở nơi như TPM không
Tất nhiên nếu máy chủ bị xâm phạm vật lý thì chuyện xấu vẫn có thể xảy ra, nhưng vì không có chỗ lưu mã độc lâu dài và cũng không thể để lại log trên lưu trữ cục bộ dù do nhầm lẫn hay cố ý, nên việc chiếm quyền máy chủ một cách dai dẳng sẽ khó hơn
Mã hóa nội dung RAM có thể mang lại lớp bảo vệ bổ sung, nhưng nếu được triển khai đúng, những gì còn trong RAM nhiều khả năng chỉ thú vị hơn rất ít so với những gì có thể nhìn thấy trên đường truyền mạng
Nhiều lắm có lẽ chỉ thấy được một lượng cực nhỏ dữ liệu yêu cầu đang hoạt động, nhưng đó chỉ là suy đoán
https://www.amd.com/system/files/documents/amd-memory-guard-...
https://www.amd.com/content/dam/amd/en/documents/epyc-busine...
Cũng có cờ khởi động lại EFI có thể sửa để buộc xóa RAM ở lần khởi động tiếp theo, nhưng thường bị vô hiệu hóa
[1] https://en.wikipedia.org/wiki/Cold_boot_attack Trên Windows, nhờ BitLocker mà cách này vẫn còn hoạt động
[2] https://www.usenix.org/legacy/event/sec08/tech/full_papers/h...
Tôi đã hỏi Mullvad và họ xác nhận rằng họ chỉ dùng bare metal, hoàn toàn không dùng ảo hóa hay container hóa
https://ibb.co/XLDQGGt
Tôi dùng DoH DNS của Cloudflare (https://1.1.1.1) và tunnel nó qua Mullvad VPN
Làm vậy thì Mullvad chỉ thấy các IP tôi truy cập, Cloudflare chỉ thấy các truy vấn DNS đến từ IP VPN, còn ISP thì không thấy gì
DoH DNS của Mullvad cũng có vẻ tốt, nhưng có thể kém riêng tư hơn cách trên nên tôi không định dùng
Tôi muốn xem số liệu thống kê thực tế, nhưng theo trực giác từ việc từng vận hành các ứng dụng dữ liệu nặng đọc/ghi bằng SSD và ECC RAM, cả hai đều hỏng đủ thường xuyên, nên về mặt khả năng phục hồi thì thay đổi này gần như chỉ giống một bước đi ngang
Tuy vậy, nỗ lực vắt thêm dù chỉ vài phần trăm hiệu năng thuần túy cũng đáng được hoan nghênh. Có vẻ sẽ là một dự án Redis thú vị
Có lẽ họ sẽ khởi động qua mạng bằng image chỉ đọc
Họ đã làm như vậy với máy chủ VPN, và giờ đang áp dụng cùng chiến lược đó cho máy chủ DNS
Tôi tò mò không biết có datasheet nào cho thấy tỷ lệ hỏng hóc không
Tôi từng rất hài lòng với mọi thứ Mullvad làm, nhưng đã thấy tiếc khi họ thông báo ngừng port forwarding, một phần quan trọng trong một cấu hình đặc thù của tôi
Tôi hiểu lý do, nhưng nếu một ngày nào đó họ cung cấp lại, tôi sẵn sàng quay lại làm khách hàng
Với Mullvad, lợi ích của việc tắt nó lớn hơn nhược điểm
Có ai biết bảo mật của Mullvad VPN so với Proton VPN thế nào không?
Họ có lịch sử chống lại yêu cầu từ cơ quan thực thi pháp luật, vì thực tế họ chẳng có gì để giao nộp
Mọi thứ chạy trên RAM và biến mất ngay khi máy chủ tắt, họ thực sự không lưu bất cứ thứ gì
Bạn cũng có thể gửi tiền mặt qua bưu điện hoặc mua tài khoản Mullvad bằng tiền mã hóa. Thậm chí không cần tạo tài khoản bằng địa chỉ email hay gì tương tự
Theo luật Thụy Sĩ, người dùng đó được thông báo trước khi dữ liệu được sử dụng trong thủ tục hình sự và được trao cơ hội phản biện tại tòa”
Những gì VPN làm chỉ là vượt chặn theo địa lý, và có thể giúp bạn tránh thông báo DMCA khi tải nội dung vi phạm bản quyền
Nhà cung cấp VPN OVPN (ovpn.com) cũng đang làm theo cách này