Home | Notifications | New Note | Local | Federated | Search | Logout

Note Detail

おだら@s3_odara@mastodon.hakurei.win (2026-08-21 00:51:45)
DoHもDoTもスタブリゾルバとフルサービスリゾルバの間で、E2Eではなく一階層上まで暗号化しようぜという半端なもの。
権威サーバーへの問い合わせ自体のスプーフィングに対しては、ポートをランダムにして16bitのエントロピーを得るとか、1232byteより大きい応答はTCPで送ってみるとか、DNS cookieを付けてTCPらしい送信元IPアドレスの紐付けをするか、あと色々な細かい対策をつけるみたいな方法かDNSSECするかになっている。
どうせDNSSECなんか使っても上の階層のサーバーの検証結果を信用しているのに署名なんか付ける必要がない。署名が活きるのは本物の分散システムで、ユーザーが自身の計算機で署名検証をしている場合で、現状のDNSはそうでないし、そうするよりまともに認証付き暗号を権威サーバーから末端までできるようにしたほうが良い