DNS přes HTTPS: co to je a jak chrání vaše dotazy

Alfa průvodce » Computing » DNS přes HTTPS: co to je a jak chrání vaše dotazy

Když zadáváte webovou adresu, v zákulisí pracuje komponenta, která zajišťuje, že se dostanete na správný web: systém doménových jmen (DNS). DNS překládá snadno zapamatovatelná jména na IP adresy , kterým počítače rozumí. Je to pohodlné, ano, ale po léta fungovalo s významnou zranitelností: tyto dotazy putovaly nešifrované. Proto se DNS přes HTTPS, také známý jako DoH, stal tak prominentním – další vrstva ochrany, která vašemu poskytovateli internetových služeb ztěžuje sledování, které domény navštěvujete.

Je důležité si hned na začátku ujasnit jednu věc: DoH zlepšuje soukromí DNS dotazů, ale není to VPN ani nepromění celé vaše připojení v tajný tunel . V tomto článku se budeme zabývat tím, co přesně to je, proč se stalo populárním, jak ho aktivovat v Chrome, Edge a Firefoxu, jeho výhody a nevýhody, jak se liší od DNS přes TLS a VPN a rozsah jeho technických a praktických omezení.

Co je DNS a proč tradiční systém selhává?

DNS servery jsou jednou z těch součástí, na které se téměř nikdo nedívá, přesto jsou základem velké části prohlížení internetu. Jejich úkolem je propojit název domény s IP adresou odpovídajícího serveru . Když navštívíte webovou stránku, váš počítač nerozumí písmenům: potřebuje IP adresu, aby věděl, ke kterému počítači se má připojit. Mnoho routerů je dodáváno s DNS servery již nakonfigurovanými poskytovatelem internetových služeb, což celý proces usnadňuje, i když zároveň zanechává viditelnou stopu pro toho, kdo tuto infrastrukturu spravuje.

Základním problémem je, že tradiční dotazy DNS jsou prováděny v prostém textu a bez ochrany . To otevírá dveře odposlechu, útokům typu „man-in-the-middle“ a manipulaci s odpovědí. Poskytovatel internetových služeb se může dozvědět, na které domény se dotazujete a kdy; útočník ve sdílené síti se může pokusit požadavek zachytit a vrátit podvodnou odpověď. Tato technika je známá jako únos DNS a může vás nakonec dovést na falešnou stránku, k nežádoucí reklamě nebo k webu určenému ke krádeži dat. Vlády a poskytovatelé internetových služeb také historicky zneužívali těchto slabin k zavedení cenzury, blokování domén nebo zobrazování další reklamy.

• Pasivní poslech: Někdo sleduje dotazy a odvodí, které služby nebo webové stránky často navštěvujete.
• Muž uprostřed: Komunikace je zachycena a odpověď je upravena tak, aby se vydávala za server.
• Blokování a filtrování: Zabraňuje rozpoznávání určitých domén za účelem kontroly přístupu k obsahu.

DNS přes HTTPS: Zašifrujte dotaz, aby nebyl viditelný pro všechny.

DNS přes HTTPS, neboli DoH, je řešení, které využívá protokol HTTPS k přenosu DNS dotazů a odpovědí v šifrované podobě . Místo odeslání otevřeného DNS požadavku jej zařízení zapouzdří v rámci zabezpečeného připojení, obvykle pomocí portu 443, což je stejný port, jaký používají zabezpečené webové stránky. Tím je chráněn jak dotaz, tak odpověď, a zabrání se tak externímu pozorovateli v jejich snadném přečtení.

Aby to fungovalo, musí dotazovaný DNS server podporovat také Domain-based DNS (DoH ). Pouhé povolení možnosti v prohlížeči nestačí: zvolený resolver musí tento standard dodržovat. Specifikace se vyvíjí a stále je považována za rozvíjející se technologii, ačkoli ji od roku 2018 testují a integrují společnosti jako Google a Mozilla Foundation. Kromě zlepšení soukromí testy naznačují, že DoH může snížit latenci a zrychlit dotazy, protože není vždy nutné resolvovat celou doménu, ale pouze minimální požadovanou část.

Výhody DoH: větší soukromí, méně manipulace a lepší výkon

Nejviditelnější výhodou je bezpečnost. Protože DNS dotazy putují šifrovaně, je mnohem obtížnější je špehovat nebo upravovat . To komplikuje útoky typu „man-in-the-middle“, snižuje expozici ve veřejných Wi-Fi sítích a brání místnímu operátorovi v jasném zobrazení, které domény požadujete. Protože provoz DoH používá port 443, splývá s jinými HTTPS připojeními a je obtížné jej odlišit od běžné návštěvy webu.

Existují také důvody týkající se výkonu. DoH může snížit latenci a zrychlit komunikaci DNS díky změnám ve způsobu překladu jmen a lepšímu využití mezipaměti. Například metoda GET některých API je navržena pro efektivnější ukládání do mezipaměti. V praxi se to může projevit v mírně rychlejším prohlížení, i když to není zázračné řešení a zlepšení není vždy znatelné. Navíc, protože je implementováno v prohlížeči, uživatel nemusí čekat, až jej aktivuje jeho poskytovatel internetových služeb.

Nevýhody a debaty: kdy šifrování komplikuje život

Ne každý vnímá šifrování založené na doméně (DoH) příznivě. Stejné šifrování, které chrání uživatele, také ztěžuje monitorování sítě . Mnoho programů rodičovské kontroly se spoléhá na kontrolu dotazů DNS, aby zjistilo, ke kterým webovým stránkám se děti snaží dostat; s DoH se tento úkol stává mnohem komplikovanějším a může být dokonce nemožný. Podobná situace existuje i pro správce firemních sítí, kteří ztrácejí přehled o dotazovaných doménách a nemohou tak snadno vynucovat určitá pravidla.

Poskytovatelé internetu také ztrácejí možnost monitorovat přístup a blokovat konkrétní domény na příkaz instituce. To vyvolává legitimní debatu: někteří to vnímají jako vítězství soukromí, zatímco jiní to považují za problém kontroly a správy . V případě DoT je také kritizováno za používání vlastního rozpoznatelného portu, který umožňuje identifikaci DNS dotazů i bez přesné znalosti toho, na co se ptá. DoH se tomuto jasnému signálu vyhýbá maskováním v rámci HTTPS provozu, ale na oplátku správcům sítě zbývá méně nástrojů pro správu jejich komunikace.

Jak povolit DoH v Chrome, Edge a Firefoxu

Povolení systému názvů domén (DNS) v moderním prohlížeči je obvykle jednoduché, zejména pokud je založen na Chromu nebo Firefoxu. Tato možnost existuje, i když v některých případech je skrytá v nabídkách pokročilého nastavení . Než cokoli změníte, je důležité si uvědomit, že prohlížeč chrání pouze své vlastní dotazy: ostatní aplikace v zařízení mohou nadále používat jiný systém DNS, pokud není nakonfigurován také na úrovni systému.

Google Chrome

V Chromu je rychlý způsob psaní chrome://flags/#dns-over-https v adresním řádku. To vás přesměruje přímo k příznakům nebo experimentálním funkcím v Chromu.Zobrazí se vybraná možnost Zabezpečené vyhledávání DNS; klikněte na rozbalovací nabídku s názvem Výchozí a vyberte možnost Povoleno. Poté budete muset restartovat prohlížeč, aby se změna projevila.

Microsoft hran

V Edge založeném na Chromu je proces prakticky identický. Otevřete prohlížeč a zadejte edge://flags/#dns-over-https ve vyhledávacím paneluZadáte příznaky v Edge a zobrazí se stejná možnost Zabezpečené vyhledávání DNS. Po zobrazení výzvy změňte výchozí nastavení na Povoleno a restartujte prohlížeč.

Mozilla Firefox

Ve Firefoxu nemusíte chodit do sekce Vlajky. Klikněte na tlačítko nabídky v pravém horním rohu a vyberte Možnosti . V části Obecné přejděte dolů a klikněte na Nastavení sítě. V okně, které se otevře, zaškrtněte políčko vedle možnosti Povolit DNS přes HTTPS. Poté si můžete vybrat z poskytovatelů, jako jsou Cloudflare a NextDNS, kteří budou provádět šifrování přes HTTPS.

DNS přes TLS (DoT): druhá šifrovaná cesta

DNS přes TLS, neboli DoT, je další způsob ochrany dotazů DNS. Místo použití HTTPS se používá TLS přes TCP připojení a standardizovaný port 853. TLS je stejným bezpečnostním základem jako HTTPS, takže myšlenka je podobná: vytvořit šifrovaný tunel, ve kterém mohou informace dešifrovat a zpracovávat pouze dva účastníci. To ztěžuje útoky typu „man-in-the-middle“ a brání třetí straně ve čtení nebo manipulaci s dotazem.

DotT má své výhody, zejména ve srovnání s tradičním DNS, které nenabízí žádná bezpečnostní opatření. Šifrování brání kyberzločincům v zachycování požadavků a také brání určitým cenzurním opatřením . Vyžaduje však kompatibilitu jak ze strany klienta, tak serveru. Několik poskytovatelů nabízí kompatibilní servery, ale jeho použití na stolním počítači nebo notebooku obvykle vyžaduje instalaci dalšího softwaru; na moderním Androidu, alespoň od Androidu 9, je již integrován. Existují řešení pro Windows a Linux, i když nejsou vždy tak transparentní, jak by se mohlo líbit.

Mezi nevýhody mnoho odborníků na ochranu dat kritizuje DoT za používání jediného, ​​rozpoznatelného portu. I když není možné zjistit, ke které webové stránce se přistupuje, je možné detekovat provoz DNS . Pro některé správce sítě je to užitečné, protože jim to umožňuje udržovat si přehled o tom, co se děje; pro jiné je to signál, který by raději skryli. DoT navíc zatím není tak rozšířený jako tradiční DNS a jeho přijetí na straně serveru je omezené. Existují obavy, že několik společností bude stále více koncentrovat DNS dotazy, což by mohlo vytvořit jakýsi mezinárodní monopol.

DoH vs. DoT: Dva způsoby, jak chránit tutéž věc

Hlavní rozdíl mezi DoH a DoT spočívá v portu a ve způsobu maskování provozu. DoT používá svůj vlastní port, 853, zatímco DoH používá 443 a splývá s běžnými HTTPS připojeními . Tento zdánlivě malý rozdíl vyvolal značnou debatu. Z hlediska soukromí je nerozlišitelnost DNS dotazů od ostatního provozu výhodou: pokud nejsou rozpoznány, nelze s nimi tak snadno manipulovat. Z hlediska správy sítě se však ztrácí kontrola a implementace bezpečnostních nebo filtrovacích zásad je obtížnější.

V jádru existují dvě vize. IETF, konsorcium, které vyvíjí mnoho internetových standardů, stojí za DoT , zatímco Google a Mozilla Foundation silně prosazují DoH. Nejedná se o protichůdné technologie, ale představují odlišné způsoby chápání soukromí, viditelnosti sítě a role zprostředkovatelů. Volba mezi jednou a druhou závisí na tom, co je třeba chránit a kdo má síť spravovat.

DoH vs. VPN: Chrání problém, ne celou cestu

DoH a VPN se často objevují v rozhovorech o soukromí, ale nedělají totéž. DoH chrání dotaz na jméno; VPN chrání cestu, kterou vaše data procházejí . Nejjednodušší způsob, jak to pochopit, je představit si, že DoH vkládá citlivou otázku do zapečetěné obálky, zatímco VPN nechává celou cestu projít soukromým tunelem, než se vrátí na veřejnou komunikaci. Obě možnosti mohou zlepšit soukromí, ale pouze jedna je navržena tak, aby komplexně pokryla provoz telefonů, tabletů a počítačů.

Co dělá DNS před načtením webu?

Než váš prohlížeč načte webovou stránku, musí vaše zařízení znát její polohu. DNS funguje jako telefonní seznam, převádí název webové stránky na IP adresu . To se děje neustále: když otevřete stránku, spustíte aplikaci, aktualizujete e-mail nebo přehrajete video. Většinou se to děje tiše a vy si toho nevšimnete, což je skvělé pro pohodlí, ale také to usnadňuje přehlédnutí jako problému se soukromím. Tradiční dotazy DNS nejsou šifrované, takže váš poskytovatel internetových služeb, váš zaměstnavatel, vaše škola, Wi-Fi v kavárně nebo hotelová síť by mohli vidět, ke kterým doménám se vaše zařízení snaží dostat. Nevidí celý obsah stránky HTTPS, ale získají docela odhalující přehled o vaší aktivitě.

DNS dotaz neodhalí každou stránku, kterou jste si prohlédli, ani vše, co zadáte do formuláře, ale seznam domén může odhalit zvyky, zájmy, pracovní nástroje, výzkum v oblasti zdraví nebo finanční služby . Proto se šifrované DNS stalo užitečnou funkcí ochrany osobních údajů. Neodhalí sice všechno, ale odhalí toho víc, než si mnoho lidí uvědomuje.

Co DoH skrývá a co odhaluje?

DoH odesílá dotazy DNS přes HTTPS, stejný šifrovaný protokol, jaký používají zabezpečené webové stránky. Požadavek ponechává vaše zařízení zašifrované a dorazí k resolveru, který podporuje daný standard . Na veřejných Wi-Fi sítích to může provozovateli sítě ztížit neúmyslné čtení vašich dotazů. Pokud váš poskytovatel internetu spravuje DNS, přechod na resolver DoH mu může zabránit v tom, aby tyto dotazy viděl obvyklým způsobem. Navíc, pokud síť manipuluje s výsledky překladu jmen, šifrovaný DNS může omezit některé formy manipulace.

DoH nyní skrývá dotaz, nikoli celou konverzaci. Může to některým pozorovatelům zabránit v jasném zobrazení vyhledávání domény, ale nepromění celé vaše internetové připojení v šifrovaný tunel . Jakmile zařízení zná IP adresu, zbytek připojení sleduje svou normální cestu, pokud ji nezmění jiný nástroj na ochranu soukromí. DoH neskrývá vaši skutečnou IP adresu před webovými stránkami, aplikacemi ani službami, ke kterým se připojujete, ani vás nezobrazuje jako v jiném městě nebo zemi. Pokud se přihlásíte k účtu, služba pozná, že jste to vy. Pokud prohlížeč obsahuje soubory cookie, uložené relace, reklamní identifikátory nebo rozpoznatelný otisk prstu, DoH tyto signály nevymaže.

Také nechrání každou aplikaci, pokud není nakonfigurována na úrovni systému a aplikace toto nastavení respektuje. Jeden prohlížeč může používat zabezpečený DNS, zatímco jiná aplikace na stejném zařízení používá jinou cestu DNS . Některé aplikace spravují svou vlastní síť a ne vždy se shodují s nastavením systému nebo prohlížeče. DoH proto může vytvářet falešný pocit úplné ochrany: zlepšuje soukromí dotazů DNS, ale nechrání přenosy souborů, provoz zpráv, videohovory, herní připojení, synchronizaci na pozadí ani streamovací aplikace tak, jak by to dělala VPN.

Co VPN chrání a co nemůže skrýt

VPN chrání jinou část vaší cesty. Vytváří šifrovaný tunel mezi vaším zařízením a VPN serverem a směruje váš internetový provoz přes tento server . Váš poskytovatel internetových služeb nebo místní Wi-Fi síť vidí šifrované připojení k VPN serveru, nikoli jasný přehled o všech stránkách a službách, ke kterým se připojujete. VPN navíc mění veřejnou IP adresu, kterou vidí webové stránky a aplikace: místo IP adresy vašeho domova nebo mobilního operátora vidí cílová stanice IP adresu VPN serveru. To může omezit sledování na základě polohy, pomoci vám obejít některé profily poskytovatelů internetových služeb a zvýšit bezpečnost používání veřejných Wi-Fi sítí.

Komplexní VPN dokáže chránit prohlížeče, streamovací aplikace, e-mailové klienty, nástroje pro zálohování do cloudu, aplikace pro zasílání zpráv, hry a služby na pozadí. Při správné konfiguraci dokáže také směrovat požadavky DNS přes šifrovaný tunel , a proto je vhodné provést test úniku DNS. VPN však není žádná magie. Pokud se přihlásíte k sociální síti, e-mailovému účtu, streamovací službě nebo online obchodu, tato služba stále ví, kdo jste. Může skrýt vaši původní IP adresu, ale neanonymizuje vaše přihlášení. Totéž platí pro cokoli, co odesíláte přímo: vaše jméno, e-mailovou adresu, platební údaje, dodací adresu, fotografie nebo zprávy.

Soubory cookie a otisky prstů v prohlížeči jsou stále důležité. Aplikace mohou vytvářet podobné problémy prostřednictvím reklamních identifikátorů, oprávnění, přístupu k poloze, skenování Bluetooth, názvů blízkých Wi-Fi sítí a skenovacích nástrojů. Malware je další velkou překážkou, protože může zachytit data ještě předtím, než se dostanou do tunelu VPN . Stručně řečeno, VPN skrývá a šifruje spoustu aktivit, ale nezamaskuje každý digitální otisk prstu.

DoH a VPN lze používat současně

Ano, lze je kombinovat, ale ideální nastavení závisí na tom, jak zařízení, prohlížeč a VPN aplikace zpracovávají DNS. V mnoha případech je nejjednodušším řešením nechat DNS zpracovávat VPN . Dobrá aplikace by měla odesílat DNS dotazy přes šifrovaný tunel, aby je váš poskytovatel internetových služeb nepřijímal přímo. Tímto způsobem získáte soukromí DNS jako součást VPN připojení, aniž byste museli samostatně upravovat nastavení prohlížeče.

Problém nastává, když prohlížeč používá vlastní konfiguraci autority domény (DoH), zatímco se VPN pokouší spravovat DNS na úrovni systému. Nic se sice nemusí pokazit, ale dochází k nejasnostem : můžete si myslet, že všechny dotazy procházejí přes VPN, ale ve skutečnosti prohlížeč některé odesílá sám do jiného resolveru. Zde se hodí test úniku DNS. Pokud po připojení k VPN vidíte DNS servery vašeho poskytovatele internetových služeb, něco nefunguje podle očekávání; pokud vidíte servery přidružené k VPN, konfigurace pravděpodobně funguje správně.

Kdy je DoH dostatečné a kdy je vhodné používat VPN?

DoH může být dostatečné, pokud je vaším hlavním zájmem základní soukromí dotazů DNS ve vašem prohlížeči. V důvěryhodné domácí síti povolení zabezpečeného DNS snižuje vystavení prostému textu, aniž byste museli měnit svou polohu nebo zabezpečit všechny své aplikace . Je také užitečné v sítích, kde je filtrování nebo manipulace s DNS problémem, protože cestování přes HTTPS ztěžuje snadnou kontrolu nebo úpravu. To neznamená, že obchází všechna omezení nebo je odolné vůči cenzuře, ale je to významné zlepšení oproti nešifrovanému DNS. Navíc je nenáročné: nemusíte si vybírat VPN server ani výrazně měnit směrování a obvykle si nevšimnete významného dopadu na rychlost.

VPN má největší smysl, když chcete ochranu celého zařízení, nejen vyhledávání DNS. To zahrnuje letiště, hotely, školy, coworkingové prostory, kavárny a pronajímané ubytování . Ve sdílených sítích nevíte, kdo ovládá router, kdo další je připojen nebo zda se někdo snaží zachytit provoz. VPN také pomáhá, když nechcete, aby váš poskytovatel internetových služeb vytvářel profil vašich vzorců prohlížení: i když HTTPS chrání obsah stránky, síťová metadata mohou stále odhalovat užitečné vzorce. Cestování je dalším jasným příkladem: VPN může zvýšit konzistenci vašeho připojení, chránit vás v neznámých sítích a zajistit, aby webové stránky viděly polohu serveru VPN namísto vašeho dočasného lokálního připojení.

Technické podrobnosti o rozhraních Google Public DNS DoH API

Veřejný DNS Google nabízí dvě odlišná DoH API. Jedno je navrženo pro RFC 8484 a přijímá požadavky GET a POST na https://dns.google/dns-query; druhé je JSON API, které podporuje pouze požadavky GET na https://dns.google/resolve . Na adrese https://dns.google/ je také webové rozhraní, které zobrazuje výsledky JSON v prohlížeči, ale neimplementuje plné API. Toto rozhraní by se nemělo zaměňovat s URL adresami API ani s https://dns.google/query. Služba nepodporuje nezabezpečené HTTP URL a DoH je také podporována veřejnou službou DNS64 od Googlu, i když v tomto případě je podporován pouze IPv6. Dokumentace zabezpečeného přenosu od Googlu obsahuje příklady protokolu curl a podrobnosti o TLS, DoT a DoH.

Dostupné metody HTTP

Metoda GET může snížit latenci, protože efektivněji ukládá do mezipaměti. Požadavky GET podle RFC 8484 musí obsahovat parametr `?dns=` se zprávou DNS kódovanou v Base64Url a je to jediná metoda podporovaná rozhraním JSON API. Metoda POST je také k dispozici pouze v RFC 8484 a používá binární zprávu DNS s `application/dns-message` v těle požadavku i odpovědi. Metoda HEAD není v současné době podporována a vrací chybu 400 Bad Request. Ostatní metody vracejí chybu 501 Not Implemented.

Stavové kódy a chyby

API vrací několik kódů HTTP, které stojí za to znát. Hodnota 200 OK znamená, že analýza HTTP a komunikace s resolverem DNS proběhly úspěšně ; tělo odpovědi může být binární odpověď DNS nebo JSON v závislosti na koncovém bodu, hlavičce Accept a parametrech GET. Poznámka: Chyba HTTP může být také selháním DNS, proto je vhodné zkontrolovat kód odpovědi DNS, například pole „Status“ v JSON, zda neobsahuje chyby jako SERVFAIL, FORMERR, REFUSED nebo NOTIMP.

• 301 Trvale přemístěno: Klient musí zopakovat požadavek na URL uvedené v poli Umístění. Pokud byl původní požadavek POST, měl by se pokusit o opakování s metodou GET pouze v případě, že nová URL adresa specifikuje parametr DNS; v opačném případě se musí opakovat s metodou POST. Mohou se také zobrazit stavové kódy 302, 307 a 308 a klienti DoH musí zpracovat všechny čtyři. Trvalé stavové kódy 301 a 308 lze ukládat do mezipaměti donekonečna. Požadavky POST, které obdrží stavový kód 307 nebo 308, musí být vždy zopakovány s metodou POST.
• Špatný požadavek 400: Problémy s analýzou parametrů GET nebo neplatná zpráva požadavku DNS. Většina neplatných zpráv DNS obdrží chybu 200 OK s FORMERR, ale chyby HTTP se vyskytují u nečitelných zpráv bez sekce s otázkami, s QR kódem označujícím odpověď nebo s nesmyslnými kombinacemi kódů.
• 413 Příliš velké užitečné zatížení: Tělo požadavku POST RFC 8484 překračuje maximální velikost zprávy 512 bajtů.
• 414 Příliš dlouhý URI: Záhlaví dotazu GET bylo příliš velké nebo parametr dns překročil 512 bajtů.
• 415 Nepodporovaný typ média: Tělo POSTu neobsahovalo záhlaví typu obsahu application/dns-message.
• 429 Příliš mnoho požadavků: V daném období bylo odesláno příliš mnoho požadavků. Klient musí počkat do času uvedeného v záhlaví Retry-After.
• Interní chyba serveru 500: Vnitřní chyby ve službě DoH.
• 501 Není implementováno: Implementovány jsou pouze GET a POST; zbytek vrací tuto chybu.
• 502 Špatná brána: Služba DoH nemohla komunikovat s resolvery veřejných DNS serverů Google. Zkusit jinou adresu by mohlo fungovat, ale efektivnějším záložním plánem je vyzkoušet jinou službu DoH nebo přejít na tradiční DNS pomocí UDP nebo TCP na adrese 8.8.8.8.

Nejlepší postupy pro ochranu soukromí a výkon

Vývojáři aplikací DoH by měli omezit HTTP hlavičky. Hlavičky jako Cookie, User-Agent a Accept-Language mohou odhalit informace o implementaci klienta a přispět k deanonymizaci . Doporučuje se odesílat pouze hlavičky nezbytné pro DoH: Host, Content-Type (pro POST požadavky) a v případě potřeby Accept. Hlavička User-Agent by měla být zahrnuta ve vývojových nebo testovacích verzích. Je také vhodné použít možnosti odsazení EDNS ke zkrácení dotazů na běžné délky a ztížení analýzy provozu. Odsazení HTTP/2 je možné, ale na rozdíl od odsazení EDNS negeneruje odsazení v odpovědích serveru DoH.

Metoda POST v RFC 8484 by se měla používat pouze v aplikacích nebo režimech prohlížeče citlivých na soukromí. Použití metody POST snižuje kapacitu mezipaměti a může zvýšit latenci, proto se obecně nedoporučuje . Snížení velikosti mezipaměti však může být vhodné pro aplikace, které chtějí zabránit útokům na synchronizaci webových aplikací, jejichž cílem je zjistit, které domény uživatel naposledy navštívil. Přístup HTTPS má také praktické výhody: Rozhraní HTTPS API jsou široce dostupná a podporovaná, což zjednodušuje implementaci; služba HTTPS poskytuje webovým aplikacím přístup ke všem typům záznamů DNS, čímž se vyhýbá omezením rozhraní API prohlížeče nebo operačního systému, která jsou obvykle omezena na vyhledávání hostitel-to-address; a klienti, kteří implementují HTTPS přes UDP s QUIC, se mohou vyhnout problémům, jako je blokování záhlaví řádku, ke kterým dochází u TCP. Pokud narazíte na chybu nebo chcete požádat o novou funkci, měli byste problém související s DoH nahlásit obvyklými kanály.

Časté otázky o DoH a VPN

Jednou z nejčastěji kladených otázek je, zda má smysl používat DoH, když již používáte VPN. Je to možné, ale nejpraktičtějším přístupem je obvykle nechat VPN spravovat DNS a ověřit pomocí testu těsnosti, zda dotazy procházejí správnými kanály. Pokud prohlížeč odesílá své vlastní dotazy jedním směrem a VPN jiným, můžete být nepříjemně překvapeni.

Další častou otázkou je, zda DoH brání vašemu poskytovateli internetových služeb v tom, aby viděl, které webové stránky navštěvujete. DoH skrývá DNS dotazy před mnoha pozorovateli, ale neodstraňuje všechna metadata ani neskrývá vaši IP adresu : váš poskytovatel internetových služeb stále vidí, ke kterým IP adresám se připojujete, a další síťové informace. Pro širší ochranu potřebujete VPN nebo kombinaci více vrstev ochrany soukromí.

Také stojí za to se zeptat, zda je DomainHost (DoH) dostatečný na veřejných Wi-Fi sítích. Může sice zabránit operátorovi sítě ve snadném čtení vašich DNS dotazů, ale nechrání celé připojení ani provoz všech aplikací . Na letištích, v hotelech a kavárnách je použití VPN obvykle komplexnější, zejména pokud nevíte, kdo ovládá router nebo zda jsou připojeni další lidé.

Systém doménových jmen (DoH) a VPN nejsou přímými rivaly, ale spíše nástroji s odlišnými možnostmi. DoH šifruje vyhledávání domény a snižuje odhalení této části procesu; VPN šifruje cestu mezi vaším zařízením a serverem a mění IP adresu, kterou vidí cílové stanice . Ani jeden z nich vás nečiní neviditelnými: účty, soubory cookie, otisky prstů prohlížeče, oprávnění aplikací, malware a veškerá data, která sdílíte přímo, vás stále mohou identifikovat. To je ale nedělá nepoužitelnými. Znamená to jednoduše, že každý z nich má svou roli. DoH chrání vyhledávání adresy; VPN chrání mnohem větší část cesty, kterou se vaše data pohybují.