DNSCrypt, cifrate le vostre richieste DNS.

OpenDNS è un fornitore di DNS popolare ampiamente utilizzato sia per o server che per i computer casalinghi, una delle caratteristiche che forniscono ai loro clienti è DNSCrypt , un miglioramento della protezione che aggiunge una protezione contro tutti gli attacchi basati su DNS, come il cache poisoning .

Allo stesso modo in cui SSL fa diventare il traffico HTTP nel traffico Web cifrato HTTPS, DNSCrypt fa diventare il traffico DNS in traffico DNS cifrato che è sicuro da intercettazioni e man-in-the-middle. Non richiede alcuna modifica ai nomi di dominio o il modo in cui funzionano i nameserver, fornisce semplicemente un metodo sicuro per la codifica delle comunicazioni tra i clienti di OpenDNS ed i loro server DNS. Il software è rilasciato come open source su GitHub .

Al momento questa soluzione funziona solo in combinazione con OpenDNS, il che significa che avete bisogno di cambiare il vostro fornitore DNS all’interno del computer in OpenDNS per utilizzare questa funzione di sicurezza, che è il loro business dopo tutto.

Vediamo nel dettaglio come usarlo su Linux.



Installazione per Debian dovrebbero funzionare anche su Ubuntu.
La seguente guida si basa sull’articolo trovato su http://shadowmax.referata.com/

Prerequisiti

Per migliorare le performance facciamo uso di un Name Service Caching Daemon, nscd:

sudo apt-get install nscd

sudo service nscd stop

sudo sed -i -E -e '/^\s*persistent\s*(passwd|group|hosts|services|netgroup)\s*yes/s/yes/no/g' \
               -e '/^\s*enable-cache\s*(passwd|group|services|netgroup)\s*yes/s/yes/no/g' \
               -e '/^\s*enable-cache\s*hosts\s*no/s/no/yes/g' /etc/nscd.conf

sudo service nscd start

Abilitiamo inoltre il supporto al Extension Mechanisms for DNS:

echo "options edns0" | sudo tee -a /etc/resolvconf/resolv.conf.d/tail

e disabilitiamo il local resolver:

sudo sed -i 's/^dns=dnsmasq/#dns=dnsmasq/g' /etc/NetworkManager/NetworkManager.conf
sudo restart network-manager

Creiamo un utente di sistema dedicato, senza una shell e con una home directory vuota, da usare per eseguire dnscrypt-proxy:

sudo adduser --system --quiet --home /run/dnscrypt --shell /bin/false \
             --group --disabled-password --disabled-login dnscrypt

Installazione

Scarichiamo il pacchetto dnscrypt-proxy in formato deb:

https://github.com/opendns/dnscrypt-proxy/downloads

e procediamo alla sua installazione:

sudo dpkg --install dnscrypt-proxy_*.deb

Creiamo infine un Upstart script per fare in modo che DNSCrypt venga avviato automaticamente all’avvio:

echo '
description "dnscrypt-proxy startup script"

pre-start script
    mkdir -p /run/dnscrypt
end script

start on (local-filesystems and net-device-up IFACE=lo)
stop on runlevel [!2345]

exec /usr/sbin/dnscrypt-proxy --local-address=127.0.0.2 \
                              --edns-payload-size=4096 \
                              --pidfile=/run/dnscrypt-proxy.pid \
                              --resolver-port=443 \
                              --user=dnscrypt \
                              --local-port=53 \
                              --tcp-only
' | sudo tee /etc/init/dnscrypt-proxy.conf

sudo ln -s /lib/init/upstart-job /etc/init.d/dnscrypt-proxy

sudo start dnscrypt-proxy

Configurazione

Per utilizzare DNSCrypt e’ sufficiente modificare nelle proprieta’ di rete la voce DNS servers con 127.0.0.2.
Per testare che tutto sta’ funzionando a dovere, andate qui

Installazione per Mint, Red Hat Enterprise, Centos e Fedora.

dnscrypt-proxy è disponibile anche come pacchetto RPM nella pagina ufficiale di Download: https://github.com/opendns/dnscrypt-proxy/downloads, installatelo e poi lanciate:

sudo /usr/sbin/dnscrypt-proxy --daemonize

Dopodiche dovrete fare il setup delal vostra connessione di rete, cambiando il DNS namserver a 127.0.0.1:

Se tutto funziona, e volete che dnscrypt-proxy parta automaticamente al boot aggiungete questa linea al vostro file /etc/rc.local:

/usr/sbin/dnscrypt-proxy --daemonize

Ed infine se si utilizza Linux Mint c’è una buona guida per l’installazione di DNSCrypt sul forum ufficiale Mint forum

Conclusioni

Dal mio punto di vista questa è una buona opzione per aggiungere un ulteriore livello di sicurezza, se potete e volete utilizzare OpenDNS come vostro name server, ma penso anche che non sia facilmente fattibile in molte società, perché è necessario utilizzare il proprio server DNS per associare correttamente i propri domini privati​​, quindi come prima cosa si potrebbe verificare questa soluzione sui computer di casa.

Popular Posts:

None Found