Децентрализация как ответ беспределу: система доменных имен, которые невозможно разделегировать (nnm-club.lib и другие)

С момента создания в 2009 году, распределённая децентрализованая денежная система Bitcoin приобрела широкое распространение. И далеко не в последнюю очередь вследствие того, что людям не нравится, когда за них решают, как распоряжаться их деньгами.

Если Роскомнадзор ранее только блокировал сайты на территории РФ, а иностранные пользователи могли получить доступ беспрепятственно, то сейчас мы наблюдаем серию довольно неприятных прецедентов, ставящих под сомнение стабильность работы всего Интернета. Речь идёт о принудительном разделегировании доменных имён сайтов.

Всемирная Сеть использует систему DNS Domain Name System, которая является распределённой системой для получения информации о доменах и для связи между доменными именами и их IP-адресами.

Наивысшее место в иерархии доменной системы занимают корневые DNS-серверы, управляющие доменами верхнего уровня.
Официальные корневые серверы DNS администрируются организацией ICANN. В дополнение к ним, другие организации имеют возможность управлять альтернативными корневыми DNS-серверами с пространствами имён, состоящими из собственных доменов верхнего уровня.

Безупречная работа системы доменных имён DNS является основой надёжной и безопасной работы интернета. Ибо злонамереный контроль над DNS-записями позволяет злоумышленикам всех сортов (и хакерам, и государственным службам) блокировать неугодные сайты или перенаправлять ничего не подозревающих пользователей на сайты-ловушки.

К сожалению, активность всевозможных атак на DNS только возрастает. С другой стороны, имеем Роскомнадзор, который блокирует на текущий момент сотни тысяч сайтов в России, в т.ч. и по постановлениям локального суда какой-нибудь деревни.

И как правильно говорит Брюс Шнайер, криптограф, писатель и специалист по компьютерной безопасности, отсюда мораль — недостаточно защитить себя законами, надо защитить себя математикой.

Применительно к DNS, становится актуальной задача построения и распространения альтернативной DNS-сети, записи в которой:

• Управляются исключительно хозяином, и никем другим.
  
• Не могут быть подменены злоумышлениками.
  
• Не могут быть заблокированы посредством административного ресурса.
  
• Не могут быть отозваны вследствие политического давления (пример).

Одним из таких решений, удовлетворяющее всем вышеперечисленым требованиям DNS, является EmerCoin, проект децентрализованного сервиса на основе технологии blockchain.

DNS-сеть от EmerCoin польностью децентрализована, и не имеет какого-либо сайта, который можно отключить по заказу, или надавить на её владельцев.

В настоящее время система поддерживает четыре корневых зоны:
*.coin — всё связанное с монетами и коммерцией;
*.emc — всё связанное с проектом EmerCoin;
*.lib — От слов Library и Liberty — то есть библиотеки и свобода;
*.bazar — различные сервисы купли/продажи.

Объясним разницу между обычным и децентрализованным DNS.

В обычном DNS, запись хранится у DNS-провайдера, который управляет ею в интересах клиента. Здесь можно указать аналогию — клиент хранит деньги в банке. И вроде деньги клиента, но распоряжается ими банк. Так, например, банк может заблокировать счёт, произвести безакцептное списание денег, прекратить выплаты, и произвести прочие волнующие действия. Та же самая история, если клиент держит запись у классического DNS-провайдера. Запись вроде принадлежит клиенту, но распоряжается ею провайдер. И он может волюнтаристски прекратить действие записи или передать её другому владельцу, если сочтёт это необходимым.

В децентрализованном DNS каждая запись управляется исключительно её хозяином, и доступна для чтения всем пользователям сети. Защита от подмены опирается на проверенную технологию блокчейна криптовалюты. Здесь прямая аналогия с наличными в кармане. Если у Вас есть деньги — значит, они Ваши, и всё. Деньги в кармане невозможно заморозить, не выдать в руки и провести с ними другие действия, на которые горазды банки под чутким руководством того или иного государства.

Для бесшовного объединения дерева альтернативных доменных имён от EmerCoin c обычными доменными именами от ICANN, со стороны клиента нужно иметь точку сопряжения, где происходит передача запроса в ту или иную систему.

Точка сопряжения может размещаться:

1. В локальном компьютере.
   При этом на компьютер ставится DNS cache и запускается локальный EmerCoin кошелёк. При этом разрешение DNS-запросов получается наиболее быстрым, и имеет высочайший уровень безопасности. Документация описывает этот вариант на примере Acrylic DNS cache. Возможны и другие варианты — например использование BIND вместо Acrylic.
   
2. В локальной, корпоративной сети или сети уровня города.
   При этом, если Вы доверяете админу локалки, безопасность не страдает, хотя скорость чуть ниже, чем в первом варианте. Тем не менее, скорость всё равно остаётся многократно более высокой, чем при использовании DNS только от провайдера. Преимущество такого варианта — нужен только один кошелёк на всю сеть. Документация описывает этот вариант на примере «BIND на локальной сети».
   
3. Использование альтернативных DNS-серверов от сообщества OpenNIC.
   Преимущество этого подхода состоит в простоте настройки и в том, что клиент может и не знать ни про какой EmerCoin. Ему достаточно сконфигурировать в своём компьютере (или в роутере) IP-адреса DNS-серверов от OpenNIC, и всё.

Надёжность системы и её быстродействие обеспечены тем, что все DNS-записи заранее распределяются по всем узлам сети. Таким образом, у каждого заинтересованого клиента есть локальная копия всех записей. Записи защищены от подмены стойкой криптографией и механизмами PoS+PoW построения блокчейна. В результате, DNS-запросы отправляются в кошелёк, размещённый в локальной машине или сети. Провайдер, СОРМ и прочие просто не видят этой DNS-активности.

Этот же механизм позволяет обойти блокировки Роскомнадзора и иже с ним.

Как же пользователям получить доступ к этому богатству свободной информации, если в браузере эти сайты не открываются?
Элементарно, Ватсон!
Настраиваем доступ к сайтам в доменных зонах EmerDNS
Есть несколько вариантов обеспечить себе доступ.

1. Используя расширения (плагины, аддоны, надстройки) для браузеров, обеспечивающие доступ в блокчейн-домены, включая Emercoin.
   
   • BDNS, рекомендуется. Есть расширения для браузеров Chrome и Chromium-базированных, Mozilla Firefox).
     
   • PeerName, рекомендуется. Есть расширения для браузеров Chrome и Chromium-базированных, Opera, Mozilla Firefox)
     Об этом и другую информацию по Интернету без цензуры читайте на сайте проекта https://blockchain-dns.info/
     
   • friGate CDN (ссылка на новость). Есть расширение для браузеров Chrome и Chromium-базированных. Почему-то не все (впечатление, что его разработчик вручную добавляет поддержку для каждого сайта отдельно), но многие сайты в доменных зонах EmerCoin им поддерживаются.
   Важно: Обратите внимание, при использовании Chrome и Chromium-базированных браузеров с такими расширениями может потребоваться ручное добавление в адресную строку префикса http:// к имени сайта, также эти браузеры с такими расширениями могут не позволить использовать https:// B-TLD страницы. Об этом и другую информацию по Интернету без цензуры читайте на сайтах этих проектов.
   
   
2. Используя альтернативные DNS-серверы проекта OpenNIC.
   Если добавить DNS-сервера OpenNic в настройках интернет-подключения на роутере или на компьютере, то ходить на emer-сайты можно будет вообще в любом браузере и без расширений, описанных выше.
   Заметим только, что не все сервера, рекомендуемые OpenNIC, корректно разрешают доменные зоны emerDNS. Надо тестировать, или брать сразу американские, например: 192.71.245.208, 128.31.0.72, 66.187.76.168 и т.д.
   
   Процедура настройки ниже показана на примере Windows 10 и подключения по протоколу PPPoE. На других версиях, начиная с Windows Vista, процедура идентична.
   Просмотр доступен только для зарегистрированных пользователей
3. Используя локальную ноду Emer.
   Продвинутые пользователи, которые никому кроме себя не верят и хотят всё сделать правильно, могут использовать локальную ноду EmerDNS для разрешения доменных имен и установить точку сопряжения с ICANN-овской сетью на своём компьютере или в локальной сети. См раздел «Integration into a regular DNS tree» из EmerDNS whitepaper.
   Этот способ обеспечивает максимальную скорость работы в сети и надёжность, в сравнении с описанными выше методами - расширениями к браузерам и альтернативным DNS-серверам, а также относительную анонимность для пользователей.

По материалам РосКомСвобода
Теперь вам доступен вход на сайты EmerCoin, в частности и на http://NNM-Club.LIB

Disel56 DNS обычные 8.8.8.8 8.8.4.4 и на роутере тоже . Windows 10 x64, Mozilla 57 beta захожу nnmclub.to . Провайдер NetByNet (Москва). На nnm-club.lib не открывается (попробовал прописать DNS как в инструкции, после этого без проблем зашёл на nnm-club.lib).

grey-wolf писал(а):

после подмены альтернативного днс весь трафик будет проходить через чужой сервер

Не весь трафик, а запросы резолвера к DNS серверу.

grey-wolf писал(а):

что они делают с обилием инфы?

Некоторые то же самое, что и все остальные, а некоторые пока ничего не делают.

grey-wolf писал(а):

где гарантии что это не будет использовано против меня?

Встречный вопрос, где гарантии что провайдер и прочие заинтересованные конторы давно не используют всё давно накопленное против Вас?

grey-wolf писал(а):

может это новый проект анб и они там поджидают пользователей, как и с тором, и их данные.

Совместный с близким сердцу ФСБ Им всем и без этого хватает информации о каждом, кто выходил в интернет или пользовался телефоном.

Как уже правильно сказали - это только для обхода днс блокировки. Если блокируют по IP, то данный способ не поможет. Но все равно советую использовать его комплексно, dnscrypt, любой кэширующий прокси (да вон тот же BIND подойдет), emercoin дял доступа в lib и прочие зоны и всякие Goodbye DPI, ReQrypt'ы и подобные. И утечек днс не будет, и в либ зону сможете пройти и на сайты закрытые зайти + быстрее чем в том же Торе

vlad001 писал(а):

Нет такого закона DNS блокировать

Будет , с формулировкой "предоставляет доступ к запрещённым сайтам". В данном случае у dns есть ip, его и заблокируют как обычно, а dns это или http сервер, какая разница, для блокиратора? Мы ведь им не докажем это?

grey-wolf писал(а):

где гарантии что это не будет использовано против меня?

Ну сейчас он идёт через провайдера, можно ведь и тут так же спросить? А если dns забугорный, какова вероятность что к вам что-то предъявят? Тем более, товарищу майору к забугорному dns'у труднее будет дотянутся, гм?

sciensys писал(а):

известно количество имен, вошедших в эти 300Mb? чтобы оценить размер для общего количества? плюс что с двиглом, а как следствие и времени поиска?

Могу сказать одно - оно работает, причём нормально.

sciensys писал(а):

так а если он каждый день разный ?

Все что есть, все его.

sciensys писал(а):

Вопрос, откуда локальные провайдеры знают этот IP ?

От туда же, откуда все остальные.

vlad001 писал(а):

sciensys писал(а): Вопрос, откуда локальные провайдеры знают этот IP ? От туда же, откуда все остальные.

блин... чё это я? это же очевидно!!
провайдер делает рикуест и получает новый IP и его уже блочит...

Так я лишился провайдера...

Есть проблемка, не позволяет зайти на зоны lib и тп. по инфе из BlockChec:
[☠] DNS-записи подменяются
[☠] DNS перенаправляется
"Ваш провайдер подменяет DNS-записи и перенаправляет сторонние IPv4 DNS-серверы на свой.
Вам следует использовать шифрованный канал до DNS-серверов, например, через VPN, Tor, HTTPS/Socks прокси или DNSCrypt."

Самое простое -использовать совместно с DNSCrypt, GoodbyeDPI и ReQrypt из соседней статьи помогут???

upd: к сожалению GoodbyeDPI и ReQrypt ничего не дали, или я не так что сделал. GoodbyeDPI просто ничего не изменилось, ReQrypt -вообще никуда не смог зайти, все в попытках соединиться.

HansonTroy писал(а):

DNSCrypt

Именно так, нечестные провайдеры используют клиентов для сбора данных о посещаемых ими интернет-ресурсах путем перехвата и подмены запросов. Чтобы это предотвратить Вы можете использовать технологию DNSCrypt. Некоторые серверы OpenNIC имеют используют данную технологию шифрования DNS запросов. Список всех серверов доступен по адресу https://servers.opennic.org/
Выбирайте те серверы, которые помечены желтым флажком

Добавлено спустя 1 минуту 25 секунд:

Можете воспользоваться этими серверами

SoulEater писал(а):

Можете воспользоваться этими серверами

Не очень хороший пример. Эти серверы работают по вайт-листам. Они могут быть недоступны.

SoulEater писал(а):

Некоторые серверы OpenNIC имеют используют данную технологию шифрования DNS запросов.

Мне вот что интересно. У меня дом.ру, все dns-запросы они перехватывают не зависимо от настроек. Когда я прописывал их dns (opennic), то к примеру зона lib, спокойно работала. Получается что провайдер не реагирует на такие запросы? Т.е. скажем на nnmclub.to он тут же выдаёт заглушку, а на nnm-club.lib уже нет, хотя запрос он наверняка видел? Это похоже на недоработку их фильтра? Ведь запрос на dns opennic не шифруется?

vlad001 писал(а):

не шифруется?

Шифруется! Crypt сокр. от Cryptography, что переводится как Криптография — наука преобразовывать в секретный формат сообщения приватного характера.

SoulEater писал(а):

Шифруется!

Т.е. если я в настройках сетевой укажу альтернативный сервер от opennic, то запросы от меня к ним шифруются? Я думал что это делает только dnscrypt, а в настройках сетевой я указываю 127.0.0.1 порт 5353, где адрес с порт прослушивания локального днс в лице dnscrypt?

На роутере установил dnsmasq+dnscrypt-proxy+opennic и всё отлично работает.
Касперский и google chrome ругаются на сертификат https://nnm-club.lib.

Rbuha
Смотрите на сам сертификат и кому он выдан (все имена, принадлежащие nnmclub, Вы ведь знаете?), он валидный. Глазами проверяйте это и доверяйте ему.
Для .lib и других подобных корневых зон EmerCoin по некоторым причинам иначе не будет.

Отлично! Сразу опробовал новые DNS, пока всё стабильно. Спасибо за информативную статью.