DNS preko HTTPS-a: šta je to i kako štiti vaše upite

Alpha Guide » Informatika » DNS preko HTTPS-a: šta je to i kako štiti vaše upite

Kada ukucate web adresu, postoji komponenta koja radi iza kulisa kako biste osigurali da dođete do ispravne stranice: Sistem imena domena (DNS). DNS prevodi lako pamtljiva imena u IP adrese koje računari mogu razumjeti. To je zgodno, da, ali godinama je radio sa značajnom ranjivošću: ovi upiti su putovali nešifrovani. Zato je DNS preko HTTPS-a, također poznat kao DoH, postao toliko istaknut - dodatni sloj zaštite koji vašem internet provajderu otežava praćenje domena koje posjećujete.

Važno je odmah na početku razjasniti jednu stvar: DoH poboljšava privatnost DNS upita, ali nije VPN, niti pretvara cijelu vašu vezu u tajni tunel . U ovom članku ćemo istražiti šta je tačno, zašto je postao popularan, kako ga aktivirati u Chromeu, Edgeu i Firefoxu, njegove prednosti i nedostatke, kako se razlikuje od DNS-a preko TLS-a i VPN-a, te obim njegovih tehničkih i praktičnih ograničenja.

Šta je DNS i zašto tradicionalni sistem ne uspijeva?

DNS serveri su jedna od onih komponenti koje gotovo niko ne gleda, a ipak su osnova velikog dijela pretraživanja interneta. Njihov posao je da povežu naziv domene s IP adresom odgovarajućeg servera . Kada posjetite web stranicu, vaš računar ne razumije slova: potrebna mu je IP adresa da bi znao na koji se računar treba povezati. Mnogi ruteri dolaze s DNS serverima koje je već konfigurirao internet provajder, što proces čini praktičnim, iako također ostavlja vidljiv trag za onoga ko kontrolira tu infrastrukturu.

Osnovni problem je što se tradicionalni DNS upiti vrše u običnom tekstu i bez zaštite . To otvara vrata prisluškivanju, napadima tipa "čovjek u sredini" i manipulaciji odgovorom. Pružatelj internet usluga može saznati koje domene pretražujete i kada; napadač na dijeljenoj mreži može pokušati presresti zahtjev i vratiti lažni odgovor. Ova tehnika je poznata kao otmica DNS-a i na kraju vas može dovesti do lažne stranice, neželjenog oglašavanja ili stranice dizajnirane za krađu podataka. Vlade i pružatelji internet usluga također su historijski iskorištavali ove slabosti za implementaciju cenzure, blokiranje domena ili prikazivanje dodatnog oglašavanja.

• Pasivno slušanje: Neko posmatra upite i zaključuje koje usluge ili web stranice često posjećujete.
• Čovjek u sredini: Komunikacija se presreće, a odgovor se modificira tako da se predstavlja kao server.
• Blokiranje i filtriranje: Sprečava razrješenje određenih domena kako bi se kontrolisao pristup sadržaju.

DNS preko HTTPS-a: Šifrirajte upit tako da ne bude vidljiv svima.

DNS preko HTTPS-a, ili DoH, je rješenje koje koristi HTTPS protokol za prijenos DNS upita i odgovora u šifriranom obliku . Umjesto slanja čistog DNS zahtjeva, uređaj ga enkapsulira unutar sigurne veze, obično koristeći port 443, isti port koji koriste sigurne web stranice. Ovo štiti i upit i odgovor, sprječavajući vanjskog posmatrača da ih lako pročita.

Da bi ovo funkcionisalo, DNS server kojem se šalje upit mora podržavati i DNS zasnovan na domeni (DoH ). Samo omogućavanje opcije u pregledniku nije dovoljno: odabrani resolver mora se pridržavati ovog standarda. Specifikacija se razvija i još uvijek se smatra tehnologijom u razvoju, iako je od 2018. godine kompanije poput Googlea i Mozilla Foundation testiraju i integriraju. Pored poboljšane privatnosti, testovi pokazuju da DoH može smanjiti latenciju i ubrzati upite, jer nije uvijek potrebno resolvirati cijelu domenu, već samo minimalni potrebni dio.

Prednosti DoH-a: više privatnosti, manje manipulacije i bolje performanse

Najočiglednija prednost je sigurnost. Budući da putuju šifrirano, DNS upite je mnogo teže špijunirati ili mijenjati . To komplicira napade tipa "čovjek u sredini", smanjuje izloženost na javnim Wi-Fi mrežama i sprječava lokalnog operatera da jasno vidi koje domene tražite. Budući da DoH promet koristi port 443, stapa se s drugim HTTPS vezama i teško ga je razlikovati od normalne web posjete.

Postoje i razlozi vezani za performanse. DoH može smanjiti latenciju i ubrzati DNS komunikaciju zahvaljujući promjenama u načinu na koji se imena razrješavaju i boljem korištenju keš memorije. Na primjer, GET metoda nekih API-ja je dizajnirana za efikasnije keširanje. U praksi, ovo se može pretvoriti u nešto brže pregledavanje, iako to nije čarobni štapić i poboljšanje nije uvijek primjetno. Nadalje, budući da je implementirano u pregledniku, korisnik ne mora čekati da ga aktivira njegov internet provajder.

Nedostaci i debate: kada šifriranje komplicira život

Ne gledaju svi pozitivno na šifriranje zasnovano na domeni (DoH). Ista enkripcija koja štiti korisnika također otežava praćenje mreže . Mnogi programi roditeljskog nadzora oslanjaju se na pregled DNS upita kako bi utvrdili kojim web stranicama djeca pokušavaju pristupiti; s DoH-om ovaj zadatak postaje mnogo složeniji, a može biti i nemoguć. Slična situacija postoji i za administratore korporativnih mreža, koji gube uvid u domene koje se pretražuju i ne mogu lako provoditi određena pravila.

Internet provajderi također gube mogućnost praćenja pristupa i blokiranja određenih domena na zahtjev institucije. Ovo generira legitimnu debatu: neki to vide kao pobjedu za privatnost, dok drugi smatraju da je to problem kontrole i upravljanja . U slučaju DoT-a, također je kritikovan zbog korištenja vlastitog prepoznatljivog porta, koji omogućava identifikaciju DNS upita čak i bez tačnog znanja šta se pita. DoH izbjegava ovaj jasan signal maskirajući se unutar HTTPS prometa, ali zauzvrat, mrežni administratori imaju manje alata za upravljanje svojom komunikacijom.

Kako omogućiti DoH u Chromeu, Edgeu i Firefoxu

Omogućavanje sistema domenskih imena (DNS) u modernom pregledniku je obično jednostavno, posebno ako je baziran na Chromiumu ili Firefoxu. Opcija postoji, iako je u nekim slučajevima skrivena u naprednim postavkama . Prije nego što bilo šta promijenite, važno je shvatiti da preglednik štiti samo vlastite upite: druge aplikacije na uređaju mogu nastaviti koristiti drugi DNS sistem ako nije konfiguriran i na nivou sistema.

Google Chrome

U Chromeu, najbrži način je kucanje chrome://flags/#dns-over-https u traci za adresu. To vas direktno vodi do Chromeovih zastavica ili eksperimentalnih funkcija.Vidjet ćete opciju pod nazivom Sigurne DNS pretrage odabrana; kliknite na padajući meni s natpisom Zadano i odaberite Omogućeno. Zatim ćete morati ponovo pokrenuti preglednik da bi promjena stupila na snagu.

Microsoft Edge

U Edgeu baziranom na Chromiumu, proces je praktično identičan. Otvorite pretraživač i ukucajte edge://flags/#dns-over-https u traci za pretraživanjeUnećete Edgeove zastavice i pojaviće se ista opcija Sigurne DNS pretrage. Promijenite zadano na Omogućeno i ponovo pokrenite preglednik kada se to od vas zatraži.

Mozilla Firefox

U Firefoxu ne morate ići na Zastavice. Kliknite na dugme menija u gornjem desnom uglu i odaberite Opcije . U odjeljku Općenito, pomaknite se do dna i kliknite na Mrežne postavke. U prozoru koji se otvori, označite polje pored opcije Omogući DNS preko HTTPS-a. Zatim možete birati između provajdera kao što su Cloudflare i NextDNS za izvršavanje šifriranja preko HTTPS-a.

DNS preko TLS-a (DoT): druga šifrirana putanja

DNS preko TLS-a, ili DoT, je još jedan način zaštite DNS upita. Umjesto korištenja HTTPS-a, koristi se TLS preko TCP veze i standardiziranog porta, 853. TLS je ista sigurnosna osnova kao i HTTPS, tako da je ideja slična: stvoriti šifrirani tunel u kojem samo dva učesnika mogu dešifrirati i obraditi informacije. Ovo otežava napade tipa "čovjek u sredini" i sprječava treću stranu da čita ili manipulira upitom.

DotT ima svoje prednosti, posebno u poređenju s tradicionalnim DNS-om, koji ne nudi nikakve sigurnosne mjere. Enkripcija sprječava cyber kriminalce da presretnu zahtjeve, a također ometa određene mjere cenzure . Međutim, zahtijeva kompatibilnost i od klijenta i od servera. Nekoliko provajdera nudi kompatibilne servere, ali korištenje na desktop ili laptop računaru obično zahtijeva instaliranje dodatnog softvera; na modernom Androidu, barem od Androida 9, već je integriran. Postoje rješenja za Windows i Linux, iako nisu uvijek transparentna koliko bi se moglo željeti.

Među nedostacima, mnogi stručnjaci za zaštitu podataka kritikuju DoT zbog korištenja jednog, prepoznatljivog porta. Iako je nemoguće znati kojoj se web stranici pristupa, moguće je detektovati DNS promet . Za neke mrežne administratore ovo je korisno jer im omogućava da imaju pregled nad onim što se događa; za druge je to signal koji bi radije sakrili. Nadalje, DoT još nije toliko raširen kao tradicionalni DNS, a njegovo usvajanje na strani servera je ograničeno. Postoji zabrinutost da će nekoliko kompanija sve više koncentrirati DNS upite, potencijalno stvarajući neku vrstu međunarodnog monopola.

DoH vs. DoT: Dva načina zaštite iste stvari

Glavna razlika između DoH-a i DoT-a leži u portu i načinu na koji se promet maskira. DoT koristi vlastiti port, 853, dok DoH koristi 443 i stapa se s normalnim HTTPS vezama . Ova naizgled mala razlika izazvala je značajnu debatu. Iz perspektive privatnosti, nerazlučivost DNS upita od ostalog prometa je prednost: ako se ne prepoznaju, ne mogu se tako lako manipulirati. Međutim, iz perspektive upravljanja mrežom, gubi se kontrola i postaje teže implementirati sigurnosne ili filtrirajuće politike.

U svojoj srži, postoje dvije vizije. IETF, konzorcij koji razvija mnoge internet standarde, stoji iza DoT-a , dok Google i Mozilla Foundation snažno promoviraju DoH. Ovo nisu suprotstavljene tehnologije, ali predstavljaju različite načine razumijevanja privatnosti, vidljivosti mreže i uloge posrednika. Izbor između jedne i druge zavisi od toga šta treba zaštititi i ko treba upravljati mrežom.

DoH u odnosu na VPN: Štiti problem, a ne cijelo putovanje

DoH i VPN se često spominju u istim razgovorima o privatnosti, ali ne rade istu stvar. DoH štiti upit imena; VPN štiti putanju kojom vaši podaci idu . Najjednostavniji način da se ovo shvati je da se zamisli DoH koji stavlja osjetljivo pitanje u zatvorenu kovertu, dok VPN cijelo putovanje prolazi kroz privatni tunel prije nego što se vrati na javni put. Oba mogu poboljšati privatnost, ali samo je jedno dizajnirano da sveobuhvatno pokrije promet telefona, tableta i računara.

Šta DNS radi prije učitavanja web stranice?

Prije nego što vaš preglednik može učitati web stranicu, vaš uređaj mora znati njenu lokaciju. DNS funkcionira poput telefonskog imenika, prevodeći naziv web stranice u IP adresu . To se događa stalno: kada otvorite stranicu, pokrenete aplikaciju, ažurirate e-poštu ili reproducirate video. Većinu vremena to se događa tiho i ne primjećujete to, što je odlično za praktičnost, ali također olakšava previđanje kao problema s privatnošću. Tradicionalni DNS upiti nisu šifrirani, tako da vaš internet provajder, vaš poslodavac, vaša škola, Wi-Fi u kafiću ili hotelska mreža mogu vidjeti koje domene vaš uređaj pokušava dosegnuti. Oni ne vide puni sadržaj HTTPS stranice, ali dobijaju prilično otkrivajući pregled vaše aktivnosti.

DNS upit ne otkriva svaku stranicu koju ste pregledali ili sve što unesete u obrazac, ali lista domena može otkriti navike, interese, alate za rad, zdravstvena istraživanja ili finansijske usluge . Zato je šifrirani DNS postao korisna funkcija privatnosti. Ne otkriva sve, ali otkriva više nego što mnogi ljudi misle.

Šta DoH krije, a šta otkriva?

DoH šalje DNS upite putem HTTPS-a, istog šifriranog protokola koji koriste sigurne web stranice. Zahtjev ostavlja vaš uređaj šifriranim i stiže do resolvera koji podržava standard . Na javnoj Wi-Fi mreži, ovo može otežati mrežnom operateru da nenamjerno pročita vaše upite. Ako vaš internet provajder upravlja DNS-om, prelazak na DoH resolver može spriječiti da vide ove upite na uobičajen način. Nadalje, ako mreža manipulira rezultatima razrješenja imena, šifrirani DNS može smanjiti neke oblike manipulacije.

Sada DoH skriva upit, a ne cijeli razgovor. To možda sprječava neke posmatrače da jasno vide pretragu domene, ali ne pretvara cijelu vašu internet vezu u šifrirani tunel . Nakon što uređaj sazna IP adresu, ostatak veze slijedi svoju normalnu putanju, osim ako neki drugi alat za privatnost ne promijeni tu rutu. DoH ne skriva vašu stvarnu IP adresu od web stranica, aplikacija ili usluga na koje se povezujete, niti vas čini da izgledate kao da ste u drugom gradu ili zemlji. Ako se prijavite na račun, usluga zna da ste to vi. Ako preglednik ima kolačiće, sačuvane sesije, identifikatore oglašavanja ili prepoznatljiv otisak prsta, DoH ne briše te signale.

Također ne štiti svaku aplikaciju osim ako nije konfigurirana na nivou sistema i aplikacija poštuje tu postavku. Jedan preglednik može koristiti sigurni DNS dok druga aplikacija na istom uređaju koristi drugu DNS putanju . Neke aplikacije upravljaju vlastitom mrežom i ne usklađuju se uvijek sa postavkama sistema ili preglednika. Stoga, DoH može stvoriti lažni osjećaj potpune zaštite: poboljšava privatnost DNS upita, ali ne štiti prijenos datoteka, promet poruka, video pozive, veze igara, sinhronizaciju u pozadini ili aplikacije za streaming na način na koji bi to činio VPN.

Šta VPN štiti, a šta ne može sakriti?

VPN štiti drugačiji dio vašeg putovanja. On stvara šifrirani tunel između vašeg uređaja i VPN servera, usmjeravajući vaš internet promet kroz taj server . Vaš internet provajder ili lokalna Wi-Fi mreža vidi šifriranu vezu sa VPN serverom, a ne jasan prikaz svake stranice i usluge na koju se povežete. Osim toga, VPN mijenja javnu IP adresu koju vide web stranice i aplikacije: umjesto IP adrese vašeg doma ili mobilnog operatera, odredište vidi IP adresu VPN servera. Ovo može smanjiti praćenje na osnovu lokacije, pomoći vam da zaobiđete neke ISP profile i učiniti korištenje javne Wi-Fi mreže sigurnijim.

Sveobuhvatni VPN može zaštititi preglednike, aplikacije za streaming, klijente e-pošte, alate za sigurnosno kopiranje u oblaku, aplikacije za razmjenu poruka, igre i pozadinske usluge. Također može usmjeravati DNS zahtjeve kroz šifrirani tunel kada je pravilno konfiguriran , zbog čega je dobra ideja pokrenuti test curenja DNS-a. Uprkos tome, VPN nije magija. Ako se prijavite na društvenu mrežu, račun e-pošte, uslugu streaminga ili online trgovinu, ta usluga i dalje zna ko ste. Može sakriti vašu originalnu IP adresu, ali ne anonimizira vašu prijavu. Isto vrijedi i za sve što šaljete direktno: vaše ime, adresu e-pošte, podatke o plaćanju, adresu za dostavu, fotografije ili poruke.

Kolačići i otisci prstiju preglednika su i dalje važni. Aplikacije mogu stvoriti slične probleme putem identifikatora oglašavanja, dozvola, pristupa lokaciji, skeniranja Bluetootha, naziva obližnjih Wi-Fi mreža i alata za skeniranje. Zlonamjerni softver je još jedna teška prepreka jer može uhvatiti podatke prije nego što uopće stignu do VPN tunela . Ukratko, VPN skriva i šifrira mnogo aktivnosti, ali ne prikriva svaki digitalni otisak prsta.

DoH i VPN se mogu koristiti istovremeno

Da, mogu se kombinovati, ali idealna postavka zavisi od toga kako uređaj, pretraživač i VPN aplikacija obrađuju DNS. U mnogim slučajevima, najjednostavnije rješenje je pustiti VPN da obrađuje DNS . Dobra aplikacija bi trebala slati DNS upite putem šifriranog tunela kako ih vaš internet provajder ne bi direktno primao. Na ovaj način dobijate DNS privatnost kao dio VPN veze bez potrebe da zasebno podešavate postavke pretraživača.

Problem nastaje kada preglednik koristi vlastitu konfiguraciju Domain Authority (DoH) dok VPN pokušava upravljati DNS-om na nivou sistema. Ništa se možda neće pokvariti, ali dolazi do zabune : možda mislite da svi upiti idu kroz VPN, ali u stvarnosti preglednik neke sam šalje drugom resolveru. Tu dobro dođe test curenja DNS-a. Ako nakon povezivanja na VPN vidite DNS servere vašeg internet provajdera, nešto ne radi kako se očekuje; ako vidite servere povezane s VPN-om, konfiguracija vjerovatno radi ispravno.

Kada je DoH dovoljan, a kada je VPN preporučljiv?

DoH može biti dovoljan kada vam je primarna briga osnovna privatnost DNS upita u vašem pregledniku. Na pouzdanoj kućnoj mreži, omogućavanje sigurnog DNS-a smanjuje izloženost običnom tekstu bez potrebe da mijenjate lokaciju ili osiguravate sve svoje aplikacije . Također je koristan na mrežama gdje je filtriranje ili manipulacija DNS-om problem, jer putovanje preko HTTPS-a otežava laku inspekciju ili modifikaciju. To ne znači da zaobilazi sva ograničenja ili da je otporan na cenzuru, ali je značajno poboljšanje u odnosu na nešifrirani DNS. Nadalje, lagan je: ne morate birati VPN server ili značajno mijenjati usmjeravanje, a obično nećete primijetiti značajan utjecaj na brzinu.

VPN ima najviše smisla kada želite zaštitu cijelog uređaja, a ne samo DNS pretrage. To uključuje aerodrome, hotele, škole, coworking prostore, kafiće i iznajmljene smještaje . Na dijeljenim mrežama ne znate ko kontrolira ruter, ko je još povezan ili da li neko pokušava presresti promet. VPN također pomaže kada ne želite da vaš internet provajder izgradi profil vaših obrazaca pregledavanja: iako HTTPS štiti sadržaj stranice, mrežni metapodaci i dalje mogu otkriti korisne obrasce. Putovanje je još jedan jasan primjer: VPN može učiniti vašu vezu konzistentnijom, zaštititi vas na nepoznatim mrežama i omogućiti web stranicama da vide lokaciju VPN servera umjesto vaše privremene lokalne veze.

Tehnički detalji Google Public DNS DoH API-ja

Google Public DNS nudi dva različita DoH API-ja. Jedan je dizajniran za RFC 8484 i prihvata GET i POST zahtjeve na https://dns.google/dns-query; drugi je JSON API koji podržava samo GET zahtjeve na https://dns.google/resolve . Postoji i web interfejs na https://dns.google/ koji prikazuje JSON rezultate u pregledniku, ali ne implementira puni API. Ovaj interfejs ne treba miješati s API URL-ovima ili s https://dns.google/query. Usluga ne podržava neosigurane HTTP URL-ove, a DoH je također podržan od strane Googleove javne DNS64 usluge, iako je u tom slučaju podržan samo IPv6. Googleova dokumentacija o sigurnom transportu uključuje primjere curl koda i detalje o TLS-u, DoT-u i DoH-u.

Dostupne HTTP metode

GET metoda može smanjiti latenciju jer efikasnije kešira podatke. RFC 8484 GET zahtjevi moraju uključivati ​​parametar `?dns=` s DNS porukom kodiranom u Base64Url formatu , i to je jedina metoda koju podržava JSON API. POST metoda je također dostupna samo u RFC 8484 i koristi binarnu DNS poruku s `application/dns-message` i u tijelu zahtjeva i u tijelu odgovora. HEAD metoda trenutno nije podržana i vraća grešku 400 Bad Request. Ostale metode vraćaju grešku 501 Not Implemented.

Statusni kodovi i greške

API vraća nekoliko HTTP kodova koje je vrijedno znati. 200 OK označava da su HTTP parsiranje i komunikacija s DNS resolverom bili uspješni ; tijelo odgovora može biti binarni DNS odgovor ili JSON, ovisno o krajnjoj tački, zaglavlju Accept i GET parametrima. Napomena: HTTP greška može biti i DNS kvar, pa je preporučljivo provjeriti DNS kod odgovora, na primjer, polje "Status" JSON-a, za greške kao što su SERVFAIL, FORMERR, REFUSED ili NOTIMP.

• 301 Trajno premješteno: Klijent mora ponovo pokušati zahtjev na URL-u navedenom u odjeljku Lokacija. Ako je originalni zahtjev bio POST, trebao bi ponovo pokušati s GET-om samo ako novi URL specificira DNS parametar; u suprotnom, mora se ponoviti s POST-om. Mogu se pojaviti i statusni kodovi 302, 307 i 308, a DoH klijenti moraju obraditi sva četiri. Trajni statusni kodovi 301 i 308 mogu se keširati neograničeno. POST zahtjevi koji prime statusni kod 307 ili 308 moraju se uvijek ponovo pokušati s POST-om.
• 400 Loš zahtjev: Problemi s parsiranjem GET parametara ili nevažeća poruka DNS zahtjeva. Većina nevažećih DNS poruka prima grešku 200 OK sa FORMERR-om, ali HTTP greške se javljaju za nečitljive poruke bez odjeljka za pitanja, sa QR kodom koji označava odgovor ili sa besmislenim kombinacijama kodova.
• 413 Korisni teret prevelik: Tijelo POST RFC 8484 zahtjeva premašuje maksimalnu veličinu poruke od 512 bajtova.
• 414 URI predugačak: Zaglavlje GET upita je bilo preveliko ili je dns parametar premašio 512 bajtova.
• 415 Nepodržana vrsta medija: Tijelo POST poruke nije imalo zaglavlje tipa sadržaja application/dns-message.
• 429 Previše zahtjeva: Previše zahtjeva je poslano u datom periodu. Klijent mora čekati do vremena navedenog u zaglavlju Retry-After.
• Greška interne greške servera: Interne greške u DoH servisu.
• 501 nije implementiran: Implementirani su samo GET i POST; ostali vraćaju ovu grešku.
• 502 Bad Gateway: DoH servis nije mogao komunicirati s Googleovim javnim DNS serverima. Pokušaj s drugom adresom bi mogao uspjeti, ali efikasniji rezervni plan je isprobati drugi DoH servis ili preći na tradicionalni DNS koristeći UDP ili TCP na adresi 8.8.8.8.

Najbolje prakse za privatnost i performanse

Programeri DoH aplikacija trebaju ograničiti HTTP zaglavlja. Zaglavlja kao što su Cookie, User-Agent i Accept-Language mogu otkriti informacije o implementaciji klijenta i doprinijeti deanonimizaciji . Preporučuje se slanje samo zaglavlja potrebnih za DoH: Host, Content-Type (za POST zahtjeve) i, ako je potrebno, Accept. Zaglavlje User-Agent treba biti uključeno u razvojne ili testne verzije. Također je preporučljivo koristiti EDNS opcije popunjavanja kako bi se skratili upiti na uobičajene dužine i otežala analiza prometa. HTTP/2 popunjavanje je moguće, ali za razliku od EDNS popunjavanja, ne generira popunjavanje u odgovorima DoH servera.

POST metoda u RFC 8484 treba se koristiti samo u aplikacijama osjetljivim na privatnost ili u načinima rada preglednika. Korištenje POST-a smanjuje kapacitet keša i može povećati latenciju, tako da se općenito ne preporučuje . Međutim, smanjenje veličine keša može biti preporučljivo za aplikacije koje žele spriječiti napade sinhronizacije web aplikacija usmjerene na otkrivanje domena koje je korisnik nedavno posjetio. HTTPS pristup također ima praktične prednosti: HTTPS API-ji su široko dostupni i podržani, što pojednostavljuje implementaciju; HTTPS usluga daje web aplikacijama pristup svim vrstama DNS zapisa, izbjegavajući ograničenja API-ja preglednika ili operativnog sistema koji su obično ograničeni na pretrage host-to-adresa; a klijenti koji implementiraju HTTPS preko UDP-a s QUIC-om mogu izbjeći probleme poput blokiranja zaglavlja linije koji se javljaju s TCP-om. Ako naiđete na grešku ili želite zatražiti novu funkciju, trebali biste prijaviti problem vezan za DoH putem uobičajenih kanala.

Česta pitanja o DoH-u i VPN-u

Jedno od najčešće postavljanih pitanja je da li ima smisla koristiti DoH kada već koristite VPN. Moguće je, ali najpraktičniji pristup je obično pustiti VPN da obrađuje DNS i provjeri testom curenja da li upiti idu kroz ispravne kanale. Ako preglednik šalje svoje upite u jednom smjeru, a VPN u drugom, mogli biste se neugodno iznenaditi.

Još jedno uobičajeno pitanje je da li DoH sprečava vašeg internet provajdera da vidi koje web stranice posjećujete. DoH skriva DNS upite od mnogih posmatrača, ali ne uklanja sve metapodatke niti skriva vašu IP adresu : vaš ISP i dalje može vidjeti na koje IP adrese se povezujete i druge mrežne informacije. Za širu zaštitu, potreban vam je VPN ili kombinacija više slojeva privatnosti.

Također je vrijedno pitati je li DomainHost (DoH) dovoljan na javnim Wi-Fi mrežama. Može spriječiti mrežnog operatera da lako čita vaše DNS upite, ali ne štiti cijelu vezu ili promet svih aplikacija . Na aerodromima, hotelima i kafićima, korištenje VPN-a je obično sveobuhvatnije, posebno ako ne znate ko kontrolira ruter ili jesu li druge osobe povezane.

Sistem imena domena (DoH) i VPN-ovi nisu direktni rivali, već alati s različitim mogućnostima. DoH šifrira pretragu domene i smanjuje izloženost tog dijela procesa; VPN šifrira putanju između vašeg uređaja i servera i mijenja IP adresu koju vide odredišta . Ništa vas ne čini nevidljivim: računi, kolačići, otisci prstiju preglednika, dozvole aplikacija, zlonamjerni softver i svi podaci koje direktno dijelite i dalje vas mogu identificirati. Ali to ih ne čini beskorisnim. To jednostavno znači da svaki ima svoju ulogu. DoH štiti pretragu adrese; VPN štiti mnogo veći dio puta kojim vaši podaci prolaze.