Asetukset->Yleiset->Verkkoasetukset->Käytä DNS:ää HTTPS:n välityksellä
Firefox esittelee mullistavan yksityisyyden suojan – lupaa sanovansa urkkijoille ”haistakaa ***tu”
https://www.mikrobitti.fi/uutiset/mb/56cce6e3-9963-4b99-9cfb-7f94bb894608?ref=ampparit:0b4c
Firefox esittelee mullistavan yksityisyyden suojan – lupaa sanovansa urkkijoille ”haistakaa ***tu”
https://www.mikrobitti.fi/uutiset/mb/56cce6e3-9963-4b99-9cfb-7f94bb894608?ref=ampparit:0b4c
Vastaukset 33
Vanhimmat
Opera päivittyi tänään Ubuntussa ja tuo valinta tuli siihen mahdolliseksi.
Johan tuo on ollut jo viikkoja olemassa!
Haitattelee?
haista ***tu, onneksi luetun ymmärtämine on sinulle mahdoton tehtävä :-D
W10 vuotaa kuiten itse, w10 vakoilee joten sen päällä ei ole mikään tutrvallinen.
No just... Jopas onkin mullistava uudistus. Siis toki se on hyvä asia, että Firefox alkaa oletuksena salata lähettämänsä DNS -kyselyt. Mutta DNS -kyselyiden salaaminen ei kyllä itseasiassa ole Linuxissa mikään erityisen uusi asia. Itselläni on Debianissa ollut jo syksystä 2017 alkaen käytössä kaikkien DNS --kyselyiden salaus, ei siis pelkästään Webbiselailuun liittyvien DNS -kyselyiden salaus.
Siis kuten tuossa Mikrobitin uutisessa sanotaan, niin oletuksenahan tietokoneiden ja DNS -nimipalvelinten välinen liikenne on täysin salaamatonta. Oletuksena DNS -kyselyt kulkee netissä salaamattomina riippumatta siitä mikä käyttöjärjestelmä tietokoneella on. Linuxissa on kuitenkin jo pitkään voinut ottaa käyttöön DNS -kyselyiden salauksen ja itse olen tehnyt niin Debianissa. Debianissa tuo on helppo tehdä.
Jotta DNS -kyselyt voidaan salata siihen tarvitaan pari asiaa. Ensinnäkin DNS -nimipalvelimen, jota tietokone käyttää IP-osoitteiden selvittämiseen, pitää tuke DNS -kyselyiden salausta (DNS over TLS). Toisekseen myös käyttöjärjestelmän pitää mahdollistaa DNS over TLS -salayuksen käyttäminen.
Valitettavasti yksikään suomalaisista nettioperaattoreista, kuten Elisa, ei tarjoa asiakkailleen DNS -nimipalvelinta joka tukisi DNS over TLS:ää. Joten salattujen DNS -kyselyiden käyttäminen vaatii ulkopuolisen DNS -nimipalvelimen käyttämisen. Onneksi netissä on ollut Marraskuusta 2017 alkaen palvelu nimeltä Quad9. Quad9 on IBM:n ja sen kumppanien ylläpitämä ilmainen voittoa tavoittelematon DNS -nimipalvelu. Quad9 ensinnäkin tukee DNS over TLS:ää, eli se tukee DNS -kyselyiden salausta. Toisekseen Quad9 suodattaa pois tunnetut haittaohjelmia, huijauksia jne sisältävät verkko-osoitteet. Eli Quad9 -nimipalvelu toimii myös tietoturvaohjelmistona estämällä pääsyn tunnettuihin haitallisiin osoitteisiin. Quad9 tekee yhteistyötä usean tietoturvayrityksen kanssa, mukaanlukien suomalaisen F-Secure -tietoturvayhtiön.
Jotta DNS -kyselyt saisi salattua myös käyttöjärjestelmän pitää tukea DNS over TLS:ää. Debianissa, ja miksei muissakin distroissa joissa on tarvittavat ohjelmistot, salauksen voi toteuttaa parillakin tavalla. Homman voi tehdä niin, että asennetaan koneelle paikallinen Unbound tai Stubby DNS-nimipalvelin. Sekä Unbound, että Stubby löytyvät suoraan Debianin ohjelmalähteestä. Paikallisen nimipalvelimen tarkoituksena on ainoastaan toimia välittäjänä tietokoneen käyttiksen ja Quad9 -nimipalvelimen välillä. Sekä Unbound, että Stubby mahdollistavat DNS -kyselyiden salaamisen TLS -salayuksella eli siis DNS over TLS:n. Riippumatta siitä käytetäänkö Unboundia vai _Stubbyä tarvitaan vain muutaman rivin asetustiedosto, jolla paikalliselle nimipalvelimelle kerrotaan, että sen pitää välittää käyttiksen DNS -kyselyt salattuna Quad9 -palvelulle.
Kun paikallinen nimipalvelin on asennettu pitää vielä vaihtaa esimerkiksi Gnome -työpöydän verkkoasetuksissa esimerkiksi oman kotona olevan langattoman verkon kohdalla verkkoasetukset niin, että käytetään paikallista nimipalvelinta. Eli nimipalvelimen iIP -osoitteeksi laitetaan 127.0.0.1, jos paikallinen nimipalvelin on ajossa samalla tietokoneella. Esimerkiksi itselläni on läppäreilläni ajossa Unbound -nimipalvelin, jonka ansiosta mulla DNS -kyselyt voidaan aina salata on läppärini sitten kytkeytyneenä mihin verkkoon tahansa. Läppärini siis lähettää aina DNS -kyselyt salattuina Quad9 -palvelulle ja saa myös Quad9:lta DNS -vastaukset salattuina.
Eli DNS -kyselyt voi saslata jo nykyään eikä salauksen tarvitse rajoittua vain Webbiselaimella netin käyttöön.
T. miksuh
Ei mitään kannata salata? koneen pitää ottaa jatkuvasti yhteyttä "mihin sattuu" näin oikeat asiat yhteydenotot peittyy yleisen "saastan" alle. eli mahdollinen salakuuntelija luulee että olet kiinnostunut seksistä pornosta asekaupasta terrorismistä mutta ei tajua että todellisuudessa etsit netistä runoja....
Niin ja klikata pois "Automaattinen".
Poistivat ohjeen? https://developers.cloudflare.com/1.1.1.1/setting-up-1.1.1.1/linux/
Mitähän oikein höpiset? Kyllä DNS -kyselyiden salaaminen on hyvä idea. Kuten tuossa Mikrobitin uutisessakin sanotaan, niin DNS -kyselyiden salaaminen ensinnäkin parantaa yksityisyyden suojaa internetissä vaikeuttamalla ihmisten seurantaa. Vielä tärkeämpää on se, että DNS-kyselyiden salaaminen parantaa tietoturvaa tekemällä mahdottomaksi monet sellaiset hyökkäykset, jotka on mahdollisia salaamattomia DNS-kyselyitä käytettäessä. Nykyään kun netin kautta tapahtuva ihmisten seuranta ja erilaiset netin kautta tehtävät hyökkäykset on yhä yleisempiä DNS -kyselyiden salaaminen on ehdottomasti hyvä idea.
T. miksuh
Tässä on ohjeet siihen kuinka DNS -kyselyt saa salattua Debianissa. Sama pitäisi olla sovitettavissa muihinkin distroihin.
1) Avataan komentorivi-ikkuna
2) Siirrytään root käyttäjäksi komennolla:
su -
3) Asennetaan Unbound -nimipalvelin
apt install unbound
4) Luodaan tekstieditorilla Unbound -asetustiedosto /etc/unbound/unbound.conf.d/quad9.conf
nano /etc/unbound/unbound.conf.d/quad9.conf
5) Laitetaan tiedoston sisällöksi alla oleva:
# DNS Over TLS, Simple ENCRYPTED recursive caching DNS, TCP port 853
#
server:
access-control: 127.0.0.0/8 allow
cache-max-ttl: 14400
cache-min-ttl: 900
do-tcp: yes
hide-identity: yes
hide-version: yes
interface: 127.0.0.1
minimal-responses: yes
prefetch: yes
rrset-roundrobin: yes
ssl-upstream: yes
use-caps-for-id: yes
verbosity: 1
forward-zone:
name: "."
forward-addr: 9.9.9.9@853 # quad9.net primary
forward-addr: 149.112.112.112@853 # quad9.net secondary
6) Tallennetaan tiedosto ja suljetaan tekstieditori
7) Avataan tekstieditorilla tiedosto /etc/unbound/unbound.conf.d/qname-minimisation.conf
nano /etc/unbound/unbound.conf.d/qname-minimisation.conf
8) Tarkistetaan, että tiedostossa on alla oleva rivi. Debianissa näin pitäisi olla jo oletuksena. Tarvittaessa lisätään tiedostoon alla oleva rivi:
qname-minimisation: yes
8) Tallennetaan tiedosto, jos tiedostoon tehtiin muutoksia. Suljetaan tekstieditori lopuksi.
9) Suljetaan Unbound sandboxiin Apparmor -turvaohjelmiston avulla.
aa-enforce usr.sbin.unbound
9) Varmistetaan, että Unbound käynnistyy tietokoneen käynnistyessä:
systemctl enable unbound
10) Käynnistetään Unbound uudelleen, jotta se lataa tehdyt uudet asetukset:
systemctl restart unbound
11) Muutetaan työpöydän (Esim Gnome) verkkoasetuksissa esimerkiksi oman langattoman kotiverkon verkkoasetuksia niin, että asetetaan DNS -nimipalvelimeksi paikallinen samalla tietokoneella ajossa oleva Unbound -nimipalvelin. Eli otetaan verkkoasetuksissa automaattinen DNS -haku pois päältä ja asetetaan manuaalisesti DNS -nimipalvelimen IP-osoitteeksi:
127.0.0.1
Nyt seuraavan kerran kun tietokone yhdistetään uudelleen esimerkiksi omaan langattomaan kotiverkkoon sillon DNS -kyselyiden pitäisi olla salattuja. Paikallinen Unbound -nimipalvelin välittää DNS -kyselyt salattuina Quad9 -nimipalvelimelle, joka puolestaan lähettää DNS -kyselyn vastauksen salattuna takaisin tietokoneelle. Lisäksi Quad9 suodattaa pois palvelun tuntemat vaaralliset haittaohjelmia ja huijauksia sisältävät verkko-osoitteet. Lisäksi Quad9 ja paikallinen Unbound -nimipalvelin tukevat myös DNS Sec -tekniikkaa, mikä myöskin parantaa DNS:n käytön turvallisuutta.
Jos jollain on parannusehdotuksia, huomautettavaa tai korjattavaa tuohon Unboundin asetustiedostoon jne liittyen, niin palautetta saa antaa.
T. miksuh
Heh heh heh.... Kylläpäs on linuks taas "helppo" ........heh heh heh.
Naureskele vaan winhihhuli mutta oikeasti linux ON helppo!
Ubuntu
Step 1: Click System > Preferences > Network Connections.
Step 2: Click on the Wireless tab, then choose the Wi-Fi network you are currently connected to.
Step 3: Click Edit then click IPv4.
Step 4: Change the DNS servers listed to:
1.1.1.1
1.0.0.1
Step 5: Click Apply
Step 6: Then go to IPv6.
Step 7: Add the DNS servers:
2606:4700:4700::1111
2606:4700:4700::1001
n IP -osoitteen saa muutettua työpöydän verkkoasetuksista riippumatta sitä mikä distro on käytössä. Mutta Eli tuo antamasi ohje ei ole millään tavalla nimenomaan Ubuntuun liittyvä. Mutta tuo sun antamasi ohje ei kyllä salaa yhtään mitään, se ei salaa DNS -kyselyjä.
T. miksuhNo miten tuo nyt liittyy ketjun aiheeseen? Tuo sun antamasi ohje ei salaa yhtään mitään. Se ei salaa DNS -kyselyjä. Mutta tuolla tavallahan sen IP -osoitteen saa vaihdettua työpöydän verkkoasetuksissa riippumatta siitä mikä distro on käytössä. Eli tuo antamasi ohje ei ole mitenkään nimenomaan Ubuntuun liittyvä.
T. miksuh
No tuolla tavallahan sen IP -osoitteen saa muutettua työpöydän verkkoasetuksista riippumatta siitä mikä distro on käytössä. Tuo antamasi ohje ei ole millään tavalla nimenomaan Ubuntuun liittyvä. Kannattaa huomata, että tuo sun antamasi ohje ei kyllä salaa yhtään mitään, se ei salaa DNS -kyselyjä. Pelkkä IP -numeron vaihtaminen työpöydän verkkoasetuksissa ei sitä tee. Ja sitäpaitsi tuo sun antamasi IP -osoite 1.1.1.1 wi ole tuon mun mainitsemani Quad9 -palvelun osoite. Quad9 -palvelun osoite on 9.9.9.9. Tuo sun mainitsemasi 1.1.1.1 on Cloudflare, joka ei muistaakseni edes tue DNS -kyselyiden salausta. Quad9 puolestaan tukee sitä.
T. miksuh
Ylläesitetyillä komentosarjoilla saa näköjään tilattua Hesarin kolmeksi vuodeksi. Siintä vaan testaamaan miten se onnaa. Lasku tulee joka tapauksessa. Miksi tuollaisia ohjeita pitää täällä jakaa?
Jäikö lääkket ottamatta vai missä muka näet jotain ohjeita hesarin tilaamiseen?
Oletteko te oikeasti noin vainoharhaisia?
--- Windows-7 ----
Tietoturvan parantaminen ei ole mitään vainoharhaisuutta vaan ihan tervettä järkeä. Mutta Windows -käyttäjäthän ei ymmärrä tietoturvan päälle mitään. Olette liikaa tottuneet siihen, että käyttis vuotaa kuin seula ja haittaohjelmia on koneet pullollaan ja sitten ihmetellään miksi Windows tahmaa kun koneessa on ties mitä örkkejä.
Just. Ja tommosta sanoo tyyppi, jolla on käytössä Windows 7, eli käyttöjärjestelmä joka on virallisesti dumpattu eikä saa enää tietoturvapäivityksiä. Eli kyseessä on tyyppi, joka ei joko ymmärrä tietoturvan merkitystä tai sitten ei yksinkertasesti piittaa siitä. Eli kumpikohan on asiallisempi asenne, se että pyrkii parantamaan turvallisuutta jos se kerran on mahdollista, vai se että käyttää käyttistä jonka jokainen tietää turvattomaksi ja joka ei saa tietoturvapäivityksiä enää? No ei ainakaan se jälkimmäinen.
Joo, mikkisofta ja kumppanit pystyy vakoilemaan kymppiä paljon enemmän.
Tuolla tyttö tehnyt selkeät ohjeet
https://www.linuxbabe.com/ubuntu/ubuntu-stubby-dns-over-tls
Cloudflare on nopein, kaikki muut voi # kommentoida pois...
No, vähän ongelmallista käyttää, kun oletuksena tuollaiset dns-palvelut toimii laitteistossa, jossa on vähän puhtia ja vanhat softat. Eihän noita saa kääntymään enää millään, kun on pitänyt laittaa ihan uutukainen käännösympäristö! Tehokas tapa saada vanhaa rautaa - joka tällaisessa hommassa pärjää - pois käytöstä..
Mitä ihmettä oikein selität? Kyllä nuo toimii missä tahansa koneessa, joka ajaa distroa josta nuo löytyy. Esimerkiksi Debianissa sekä Unbound, että Stubby on saatavissa suoraan distron ohjelmalähteestä. Joten ei niitä edes tarvitse kääntää itse lähdekoodeista.
T. miksuh
Eiköhä Stubby toimi vaikka missä laitteessa.
Komento: systemctl status stubby
Näyttää muistinkulutuksen: Memory: 3.2M
Ahaa joo luin ehkä hiukan huolimattomasti tuon sun kommentin. Tarkoitit ilmeisesti ettei noita saisi toimimaan vanhoissa koneissa. Luin jotenkin, että luulisit noiden DNS -palvelinohjelmistojen toimivan vain vanhemmissa koneissa :-) No joo toki joissakin tapauksissa voi olla niin että johonkin vanhaan koneeseen noita ei saa. Tosin kyllähän linux toimii varsin vanhallakin raudalla ja jos uusimman distroversion saaasennettua koneelle, niin pitäisi noidenkin toimia.
T. miksuh
Niin kuten sanoin tuossa aiemmin antamassani ohjeessa DNS over TLS:n käyttöönotto onnistuu ihan yhtälailla Stubbyn avulla. Annoin tuossa aiemmin ohjeen kuinka sen voi tehdä Unboundin avulla, mutta ei ole mitään estettä sille että sama tehtäisiin -Stubbyn avulla. Sekä Unbound, että Stubby löytyy suoraan Debianista, joten todennäkösesti siis myös Debianiin perustuvista distroista kuten Ubuntu jne. Olen kokeillut tuota molemmilla tavoilla ja homma toimii kumpaakin tapaa käyttäen.
Itse päädyin käyttämään Unboundia sen takia, koska Stubby oli Debian 9 "Stretch" -versiossa saatavilla vain Debianin backports -repositorystä. Unbound puolestaan oli Debian Stretchinmain -repositoryssä. joten Debian Stretchissä Unbound oli paremmin testattu. Nykyisessä uusimmassa Debianissa (Debian 10 "Buster" sekä Unbound, että Stubby ovat saatavilla suoraan Debianin main -repositorystä.
T. miksuh
Niin ja Unboundin hyvänä puolena on se, että se cachettaa DNS -kyselyt. Eli jos IP -numero löytyy jo Unboundin cachesta, niin Unbound ei turhaan lähetä DNS -kyselyä netin yli Quad9 -palvelulle. Tuo nopeuttaa toimintaa, koska tottakai IP-numero on paljon nopeampi selvittää paikallisen nimipalvelimen cachesta sen sijaan, että lähetettäs DNS -kysely netin yli netissä olevalle nimipalvelimelle.
T. miksuh
Stubby lähettää pyynnön vain määrättyyn osoitteeseen. Elikkä unkomentoit kaikki ja jätät vain sen yhden turvallisen, niin sillä selvä.
Stubby on kaiketi normaaleista ohjelmalähteistä saatavilla Ubuntu 18.04 lähtien. Tähän uudempaan 19.10 versioon asentui ihan vain komentamalla.
Kaikki paketit ovat luotu käytettäväksi :-)
No pitää opettaa FF tavoille ja samoin sen käyttäjät.....................
Firefox ja Ubuntu ovat terästä, muut tulevat perästä!
Firefox "haitattelee" kyllä jo käyttäjillekin toimimattomuudellaan.
Eikä sekään parane ennen kuin käyttää Blink-moottoria, koska nettisivut ovat kohta kaikki tehty Googlen vakoiluun.
Joo, voi sen Javascriptin toki estää NoScriptillä, mutta ei ne nettisivu ole enää alkuperäisiä, jos näkyvät ollenkaan.