DNS μέσω HTTPS: τι είναι και πώς προστατεύει τα ερωτήματά σας

Οδηγός Άλφα » Πληροφορική » DNS μέσω HTTPS: τι είναι και πώς προστατεύει τα ερωτήματά σας

Όταν πληκτρολογείτε μια διεύθυνση ιστού, υπάρχει ένα στοιχείο που λειτουργεί στο παρασκήνιο για να διασφαλίσει ότι θα φτάσετε στον σωστό ιστότοπο: το Σύστημα Ονομάτων Τομέα (DNS). Το DNS μεταφράζει εύκολα απομνημονεύσιμα ονόματα σε διευθύνσεις IP που μπορούν να κατανοήσουν οι υπολογιστές. Είναι βολικό, ναι, αλλά για χρόνια λειτουργούσε με μια σημαντική ευπάθεια: αυτά τα ερωτήματα ταξίδευαν χωρίς κρυπτογράφηση. Αυτός είναι ο λόγος για τον οποίο το DNS μέσω HTTPS, γνωστό και ως DoH, έχει γίνει τόσο σημαντικό - ένα επιπλέον επίπεδο προστασίας που δυσκολεύει τον πάροχο υπηρεσιών διαδικτύου σας να παρακολουθεί ποιους τομείς επισκέπτεστε.

Είναι σημαντικό να έχετε μια σαφή ιδέα από την αρχή: Το DoH βελτιώνει το απόρρητο των ερωτημάτων DNS, αλλά δεν είναι VPN και δεν μετατρέπει ολόκληρη τη σύνδεσή σας σε μυστική σήραγγα.Σε όλο αυτό το άρθρο θα δούμε ακριβώς τι είναι, γιατί έχει γίνει δημοφιλές, πώς να το ενεργοποιήσετε στο Chrome, Edge και Firefox, ποια πλεονεκτήματα και μειονεκτήματα έχει, πώς διαφέρει από το DNS έναντι του TLS και ενός VPN, και σε ποιο βαθμό επεκτείνονται οι τεχνικοί και πρακτικοί περιορισμοί του.

Τι είναι το DNS και γιατί το παραδοσιακό σύστημα υπολείπεται;

Οι διακομιστές DNS είναι ένα από αυτά τα στοιχεία που σχεδόν κανείς δεν εξετάζει, ωστόσο αποτελούν τη βάση για ένα μεγάλο μέρος της διαδικτυακής περιήγησης. Η δουλειά τους είναι να συνδέουν ένα όνομα τομέα με τη διεύθυνση IP του αντίστοιχου διακομιστή . Όταν επισκέπτεστε έναν ιστότοπο, ο υπολογιστής σας δεν καταλαβαίνει γράμματα: χρειάζεται μια διεύθυνση IP για να γνωρίζει σε ποιο μηχάνημα να συνδεθεί. Πολλοί δρομολογητές διαθέτουν διακομιστές DNS που έχουν ήδη ρυθμιστεί από τον πάροχο υπηρεσιών διαδικτύου, γεγονός που καθιστά τη διαδικασία βολική, αν και αφήνει επίσης ένα ορατό ίχνος για όποιον ελέγχει αυτήν την υποδομή.

Το υποκείμενο πρόβλημα είναι ότι τα παραδοσιακά ερωτήματα DNS γίνονται σε απλό κείμενο και χωρίς προστασία . Αυτό ανοίγει την πόρτα σε υποκλοπές, επιθέσεις man-in-the-middle και χειραγώγηση της απόκρισης. Ένας πάροχος υπηρεσιών διαδικτύου μπορεί να μάθει σε ποιους τομείς υποβάλλετε ερώτημα και πότε. Ένας εισβολέας σε ένα κοινόχρηστο δίκτυο μπορεί να προσπαθήσει να υποκλέψει το αίτημα και να επιστρέψει μια δόλια απόκριση. Αυτή η τεχνική είναι γνωστή ως DNS hijacking και μπορεί τελικά να σας οδηγήσει σε μια ψεύτικη σελίδα, ανεπιθύμητη διαφήμιση ή έναν ιστότοπο που έχει σχεδιαστεί για να κλέβει δεδομένα. Οι κυβερνήσεις και οι πάροχοι υπηρεσιών διαδικτύου έχουν επίσης ιστορικά εκμεταλλευτεί αυτές τις αδυναμίες για να εφαρμόσουν λογοκρισία, να αποκλείσουν τομείς ή να εμφανίσουν επιπλέον διαφημίσεις.

• Παθητική ακρόαση: Κάποιος παρατηρεί τα ερωτήματα και συμπεραίνει ποιες υπηρεσίες ή ιστότοπους επισκέπτεστε συχνά.
• Άνθρωπος-στη-μέση: Η επικοινωνία αναχαιτίζεται και η απάντηση τροποποιείται για να μιμηθεί έναν διακομιστή.
• Αποκλεισμός και φιλτράρισμα: Αποτρέπει την ανάλυση ορισμένων τομέων προκειμένου να ελέγχεται η πρόσβαση στο περιεχόμενο.

DNS μέσω HTTPS: Κρυπτογραφήστε το ερώτημα ώστε να μην είναι ορατό σε όλους.

Το DNS μέσω HTTPS ή DoH είναι μια λύση που αξιοποιεί το πρωτόκολλο HTTPS για τη μετάδοση ερωτημάτων και απαντήσεων DNS σε κρυπτογραφημένη μορφή . Αντί να στέλνει ένα σαφές αίτημα DNS, η συσκευή το ενσωματώνει σε μια ασφαλή σύνδεση, συνήθως χρησιμοποιώντας τη θύρα 443, την ίδια θύρα που χρησιμοποιείται από ασφαλείς ιστότοπους. Αυτό προστατεύει τόσο το ερώτημα όσο και την απόκριση, εμποδίζοντας έναν εξωτερικό παρατηρητή να τα διαβάσει εύκολα.

Για να λειτουργήσει αυτό, Ο διακομιστής DNS στον οποίο υποβάλλεται το ερώτημα πρέπει επίσης να υποστηρίζει το DoHΗ απλή ενεργοποίηση μιας επιλογής στο πρόγραμμα περιήγησης δεν αρκεί: ο επιλεγμένος αναλυτής πρέπει να υποστηρίζει αυτό το πρότυπο. Η προδιαγραφή εξελίσσεται και εξακολουθεί να θεωρείται μια αναπτυσσόμενη τεχνολογία, αν και από το 2018 εταιρείες όπως η Google και το Ίδρυμα Mozilla την δοκιμάζουν και την ενσωματώνουν. Εκτός από τη βελτιωμένη προστασία της ιδιωτικής ζωής, οι δοκιμές δείχνουν ότι το Domain-Hardware (DoH) που βασίζεται σε τομέα μπορεί να μειώσει την καθυστέρηση και να κάνει τα ερωτήματα πιο γρήγορα, επειδή δεν χρειάζεται πάντα να επιλύει ολόκληρο τον τομέα, αλλά μόνο το ελάχιστο απαραίτητο τμήμα.

Πλεονεκτήματα του DoH: περισσότερη ιδιωτικότητα, λιγότερη χειραγώγηση και καλύτερη απόδοση

Το πιο προφανές πλεονέκτημα είναι η ασφάλεια. Επειδή ταξιδεύουν κρυπτογραφημένα, τα ερωτήματα DNS είναι πολύ πιο δύσκολο να κατασκοπευτούν ή να τροποποιηθούν . Αυτό περιπλέκει τις επιθέσεις man-in-the-middle, μειώνει την έκθεση σε δημόσια δίκτυα Wi-Fi και εμποδίζει έναν τοπικό πάροχο να δει με σαφήνεια ποιους τομείς ζητάτε. Δεδομένου ότι η κίνηση DoH χρησιμοποιεί τη θύρα 443, συνδυάζεται με άλλες συνδέσεις HTTPS και είναι δύσκολο να διακριθεί από μια κανονική επίσκεψη στο διαδίκτυο.

Υπάρχουν επίσης λόγοι απόδοσης. Το DoH μπορεί να μειώσει την καθυστέρηση και να επιταχύνει τις επικοινωνίες DNS χάρη σε αλλαγές στον τρόπο επίλυσης των ονομάτων και στην καλύτερη χρήση της προσωρινής μνήμης. Για παράδειγμα, η μέθοδος GET ορισμένων API έχει σχεδιαστεί για να αποθηκεύεται στην προσωρινή μνήμη πιο αποτελεσματικά. Στην πράξη, αυτό μπορεί να μεταφραστεί σε ελαφρώς ταχύτερη περιήγηση, αν και δεν είναι μια μαγική λύση και η βελτίωση δεν είναι πάντα αισθητή. Επιπλέον, δεδομένου ότι εφαρμόζεται στο πρόγραμμα περιήγησης, ο χρήστης δεν χρειάζεται να περιμένει να την ενεργοποιήσει ο πάροχος υπηρεσιών διαδικτύου.

Μειονεκτήματα και συζητήσεις: όταν η κρυπτογράφηση περιπλέκει τη ζωή

Δεν βλέπουν όλοι θετικά την κρυπτογράφηση βάσει τομέα (DoH). Η ίδια κρυπτογράφηση που προστατεύει τον χρήστη δυσχεραίνει επίσης την παρακολούθηση του δικτύου . Πολλά προγράμματα γονικού ελέγχου βασίζονται στην επιθεώρηση ερωτημάτων DNS για να προσδιορίσουν σε ποιους ιστότοπους προσπαθούν να έχουν πρόσβαση τα παιδιά. Με το DoH, αυτή η εργασία γίνεται πολύ πιο περίπλοκη και μπορεί ακόμη και να είναι αδύνατη. Μια παρόμοια κατάσταση υπάρχει και για τους διαχειριστές εταιρικών δικτύων, οι οποίοι χάνουν την ορατότητα στους τομείς στους οποίους υποβάλλονται ερωτήματα και δεν μπορούν να επιβάλουν ορισμένους κανόνες τόσο εύκολα.

Οι πάροχοι Διαδικτύου χάνουν επίσης τη δυνατότητα να παρακολουθούν την πρόσβαση και να αποκλείουν συγκεκριμένους τομείς κατ' εντολή ενός ιδρύματος. Αυτό δημιουργεί μια εύλογη συζήτηση: ορισμένοι το βλέπουν ως νίκη για την ιδιωτικότητα, ενώ άλλοι το θεωρούν πρόβλημα ελέγχου και διαχείρισης . Στην περίπτωση του DoT, επικρίνεται επίσης για τη χρήση της δικής του αναγνωρίσιμης θύρας, η οποία επιτρέπει την αναγνώριση ερωτημάτων DNS ακόμη και χωρίς να γνωρίζει ακριβώς τι ζητείται. Το DoH αποφεύγει αυτό το σαφές σήμα μεταμφιέζοντας τον εαυτό του στην κίνηση HTTPS, αλλά σε αντάλλαγμα, οι διαχειριστές δικτύου έχουν λιγότερα εργαλεία για τη διαχείριση των επικοινωνιών τους.

Πώς να ενεργοποιήσετε το DoH σε Chrome, Edge και Firefox

Η ενεργοποίηση του Συστήματος Ονομάτων Τομέα (DNS) σε ένα σύγχρονο πρόγραμμα περιήγησης είναι συνήθως απλή, ειδικά αν βασίζεται σε Chromium ή Firefox. Η επιλογή υπάρχει, αν και σε ορισμένες περιπτώσεις είναι κρυφή στα μενού ρυθμίσεων για προχωρημένους . Πριν αλλάξετε οτιδήποτε, είναι σημαντικό να κατανοήσετε ότι το πρόγραμμα περιήγησης προστατεύει μόνο τα δικά του ερωτήματα: άλλες εφαρμογές στη συσκευή ενδέχεται να συνεχίσουν να χρησιμοποιούν ένα διαφορετικό σύστημα DNS, εάν δεν έχει ρυθμιστεί και σε επίπεδο συστήματος.

Google Chrome

Στο Chrome, ο γρήγορος τρόπος είναι να πληκτρολογήσετε chrome://flags/#dns-over-https στη γραμμή διευθύνσεων. Αυτό σας μεταφέρει απευθείας στις Σημαίες ή στις πειραματικές λειτουργίες του Chrome.Θα δείτε μια επιλογή που ονομάζεται Ασφαλείς αναζητήσεις DNS. Κάντε κλικ στο αναπτυσσόμενο μενού που λέει Προεπιλογή και επιλέξτε Ενεργοποιημένο. Στη συνέχεια, θα χρειαστεί να επανεκκινήσετε το πρόγραμμα περιήγησής σας για να τεθεί σε ισχύ η αλλαγή.

Η Microsoft Edge

Στο Edge που βασίζεται στο Chromium, η διαδικασία είναι σχεδόν πανομοιότυπη. Ανοίξτε το πρόγραμμα περιήγησής σας και πληκτρολογήστε edge://flags/#dns-over-https στη γραμμή αναζήτησηςΘα εισαγάγετε τις σημαίες του Edge και θα εμφανιστεί η ίδια επιλογή Secure DNS lookups (Ασφαλείς αναζητήσεις DNS). Αλλάξτε την επιλογή Default (Προεπιλογή) σε Enabled (Ενεργοποιημένη) και επανεκκινήστε το πρόγραμμα περιήγησης όταν σας ζητηθεί.

Mozilla Firefox

Στον Firefox, δεν χρειάζεται να μεταβείτε στις Σημαίες. Κάντε κλικ στο κουμπί μενού στην επάνω δεξιά γωνία και επιλέξτε Επιλογές . Στην ενότητα Γενικά, κάντε κύλιση προς τα κάτω και κάντε κλικ στην επιλογή Ρυθμίσεις δικτύου. Στο παράθυρο που ανοίγει, επιλέξτε το πλαίσιο δίπλα στην επιλογή Ενεργοποίηση DNS μέσω HTTPS. Στη συνέχεια, μπορείτε να επιλέξετε από παρόχους όπως το Cloudflare και το NextDNS για να εκτελέσετε κρυπτογράφηση μέσω HTTPS.

DNS μέσω TLS (DoT): η άλλη κρυπτογραφημένη διαδρομή

Το DNS μέσω TLS ή DoT είναι ένας άλλος τρόπος προστασίας των ερωτημάτων DNS. Αντί να χρησιμοποιεί HTTPS, χρησιμοποιεί TLS μέσω σύνδεσης TCP και τυποποιημένης θύρας, 853. Το TLS είναι το ίδιο θεμέλιο ασφαλείας με το HTTPS, επομένως η ιδέα είναι παρόμοια: να δημιουργηθεί μια κρυπτογραφημένη σήραγγα στην οποία μόνο οι δύο συμμετέχοντες μπορούν να αποκρυπτογραφήσουν και να επεξεργαστούν τις πληροφορίες. Αυτό καθιστά τις επιθέσεις man-in-the-middle πιο δύσκολες και εμποδίζει ένα τρίτο μέρος να διαβάσει ή να χειραγωγήσει το ερώτημα.

Το DotT έχει τα πλεονεκτήματά του, ειδικά σε σύγκριση με το παραδοσιακό DNS, το οποίο δεν προσφέρει μέτρα ασφαλείας. Η κρυπτογράφηση εμποδίζει τους κυβερνοεγκληματίες να υποκλέψουν αιτήματα και επίσης παρεμποδίζει ορισμένα μέτρα λογοκρισίας . Ωστόσο, απαιτεί συμβατότητα τόσο από τον πελάτη όσο και από τον διακομιστή. Αρκετοί πάροχοι προσφέρουν συμβατούς διακομιστές, αλλά η χρήση του σε επιτραπέζιο ή φορητό υπολογιστή συνήθως απαιτεί την εγκατάσταση πρόσθετου λογισμικού. Στο σύγχρονο Android, τουλάχιστον από την έκδοση 9, είναι ήδη ενσωματωμένο. Υπάρχουν λύσεις για Windows και Linux, αν και δεν είναι πάντα τόσο διαφανείς όσο θα ήθελε κανείς.

Μεταξύ των μειονεκτημάτων, πολλοί ειδικοί στην προστασία δεδομένων επικρίνουν το DoT για τη χρήση μιας ενιαίας, αναγνωρίσιμης θύρας. Ενώ είναι αδύνατο να γνωρίζουμε σε ποιον ιστότοπο γίνεται πρόσβαση, είναι δυνατό να ανιχνεύσουμε την κίνηση DNS . Για ορισμένους διαχειριστές δικτύου, αυτό είναι χρήσιμο επειδή τους επιτρέπει να διατηρούν μια επισκόπηση του τι συμβαίνει. Για άλλους, είναι ένα σήμα που προτιμούν να κρύψουν. Επιπλέον, το DoT δεν είναι ακόμη τόσο διαδεδομένο όσο το παραδοσιακό DNS και η υιοθέτησή του από την πλευρά του διακομιστή είναι περιορισμένη. Υπάρχουν ανησυχίες ότι ορισμένες εταιρείες θα επικεντρώνουν ολοένα και περισσότερο τα ερωτήματα DNS, δημιουργώντας ενδεχομένως ένα είδος διεθνούς μονοπωλίου.

DoH vs. DoT: Δύο τρόποι για να προστατεύσετε το ίδιο πράγμα

Η κύρια διαφορά μεταξύ του DoH και του DoT έγκειται στη θύρα και στον τρόπο με τον οποίο συγκαλύπτεται η κίνηση. Το DoT χρησιμοποιεί τη δική του θύρα, 853, ενώ το DoH χρησιμοποιεί την 443 και ενσωματώνεται στις κανονικές συνδέσεις HTTPS . Αυτή η φαινομενικά μικρή διαφορά έχει προκαλέσει σημαντική συζήτηση. Από την άποψη της προστασίας της ιδιωτικής ζωής, η μη διακριτότητα των ερωτημάτων DNS από την άλλη κίνηση αποτελεί πλεονέκτημα: εάν δεν αναγνωρίζονται, δεν μπορούν να χειραγωγηθούν τόσο εύκολα. Από την άποψη της διαχείρισης δικτύου, ωστόσο, ο έλεγχος χάνεται και γίνεται πιο δύσκολη η εφαρμογή πολιτικών ασφάλειας ή φιλτραρίσματος.

Στον πυρήνα του, υπάρχουν δύο οράματα. Το IETF, η κοινοπραξία που αναπτύσσει πολλά πρότυπα διαδικτύου, βρίσκεται πίσω από το DoT , ενώ η Google και το Ίδρυμα Mozilla έχουν προωθήσει έντονα το DoH. Αυτές δεν είναι αντίθετες τεχνολογίες, αλλά αντιπροσωπεύουν διαφορετικούς τρόπους κατανόησης της ιδιωτικότητας, της ορατότητας του δικτύου και του ρόλου των μεσαζόντων. Η επιλογή μεταξύ του ενός και του άλλου εξαρτάται από το τι πρέπει να προστατεύεται και ποιος πρέπει να διαχειρίζεται το δίκτυο.

DoH έναντι VPN: Προστατεύει την ερώτηση, όχι ολόκληρο το ταξίδι

Το DoH και ένα VPN εμφανίζονται συχνά στις ίδιες συζητήσεις σχετικά με το απόρρητο, αλλά δεν κάνουν το ίδιο πράγμα. Το DoH προστατεύει το ερώτημα ονόματος. Ένα VPN προστατεύει τη διαδρομή που ακολουθούν τα δεδομένα σας . Ο απλούστερος τρόπος για να το κατανοήσετε αυτό είναι να σκεφτείτε το DoH να βάζει μια ευαίσθητη ερώτηση σε έναν σφραγισμένο φάκελο, ενώ ένα VPN κάνει ολόκληρο το ταξίδι να περνάει από μια ιδιωτική σήραγγα πριν επιστρέψει στον δημόσιο δρόμο. Και τα δύο μπορούν να βελτιώσουν το απόρρητο, αλλά μόνο το ένα έχει σχεδιαστεί για να καλύπτει πλήρως την κίνηση τηλεφώνων, tablet και υπολογιστών.

Τι κάνει το DNS πριν φορτώσει ένας ιστότοπος;

Πριν το πρόγραμμα περιήγησής σας φορτώσει έναν ιστότοπο, η συσκευή σας πρέπει να γνωρίζει την τοποθεσία του. Το DNS λειτουργεί σαν τηλεφωνικός κατάλογος, μεταφράζοντας το όνομα ενός ιστότοπου σε μια διεύθυνση IP . Αυτό συμβαίνει συνεχώς: όταν ανοίγετε μια σελίδα, εκκινείτε μια εφαρμογή, ενημερώνετε το email σας ή αναπαράγετε ένα βίντεο. Τις περισσότερες φορές συμβαίνει σιωπηλά και δεν το παρατηρείτε, κάτι που είναι εξαιρετικό για λόγους ευκολίας, αλλά διευκολύνει επίσης την παράβλεψη του ως ζήτημα απορρήτου. Τα παραδοσιακά ερωτήματα DNS δεν είναι κρυπτογραφημένα, επομένως ο πάροχος υπηρεσιών διαδικτύου, ο εργοδότης σας, το σχολείο σας, το Wi-Fi μιας καφετέριας ή ένα δίκτυο ξενοδοχείου θα μπορούσαν να δουν σε ποιους τομείς προσπαθεί να φτάσει η συσκευή σας. Δεν βλέπουν το πλήρες περιεχόμενο μιας σελίδας HTTPS, αλλά λαμβάνουν μια αρκετά αποκαλυπτική περίληψη της δραστηριότητάς σας.

Ένα ερώτημα DNS δεν αποκαλύπτει κάθε σελίδα που έχετε δει ή όλα όσα πληκτρολογείτε σε μια φόρμα, αλλά μια λίστα τομέων μπορεί να αποκαλύψει συνήθειες, ενδιαφέροντα, εργαλεία εργασίας, έρευνα υγείας ή χρηματοοικονομικές υπηρεσίες . Γι' αυτό το κρυπτογραφημένο DNS έχει γίνει μια χρήσιμη λειτουργία απορρήτου. Δεν αποκαλύπτει τα πάντα, αλλά αποκαλύπτει περισσότερα από όσα αντιλαμβάνονται πολλοί άνθρωποι.

Τι κρύβει και τι αποκαλύπτει το Υπουργείο Υγείας;

Το DoH στέλνει ερωτήματα DNS μέσω HTTPS, του ίδιου κρυπτογραφημένου πρωτοκόλλου που χρησιμοποιείται από ασφαλείς ιστότοπους. Το αίτημα αφήνει τη συσκευή σας κρυπτογραφημένη και φτάνει σε έναν αναλυτή που υποστηρίζει το πρότυπο . Σε δημόσιο Wi-Fi, αυτό μπορεί να δυσκολέψει τον πάροχο δικτύου να διαβάσει ακούσια τα ερωτήματά σας. Εάν ο πάροχος διαδικτύου σας διαχειρίζεται το DNS, η μετάβαση σε έναν αναλυτή DoH μπορεί να τον εμποδίσει να δει αυτά τα ερωτήματα με τον συνήθη τρόπο. Επιπλέον, εάν ένα δίκτυο χειραγωγεί τα αποτελέσματα ανάλυσης ονομάτων, το κρυπτογραφημένο DNS μπορεί να μειώσει ορισμένες μορφές χειραγώγησης.

Τώρα, το DoH αποκρύπτει το ερώτημα, όχι ολόκληρη τη συνομιλία. Μπορεί να εμποδίσει ορισμένους παρατηρητές να δουν καθαρά την αναζήτηση τομέα, αλλά δεν μετατρέπει ολόκληρη τη σύνδεσή σας στο διαδίκτυο σε κρυπτογραφημένη σήραγγα . Μόλις η συσκευή γνωρίζει τη διεύθυνση IP, η υπόλοιπη σύνδεση ακολουθεί την κανονική της διαδρομή, εκτός εάν κάποιο άλλο εργαλείο απορρήτου αλλάξει αυτήν τη διαδρομή. Το DoH δεν αποκρύπτει την πραγματική σας διεύθυνση IP από τους ιστότοπους, τις εφαρμογές ή τις υπηρεσίες στις οποίες συνδέεστε, ούτε σας κάνει να φαίνεστε ότι βρίσκεστε σε διαφορετική πόλη ή χώρα. Εάν συνδεθείτε σε έναν λογαριασμό, η υπηρεσία γνωρίζει ότι είστε εσείς. Εάν το πρόγραμμα περιήγησης έχει cookies, αποθηκευμένες περιόδους σύνδεσης, αναγνωριστικά διαφήμισης ή αναγνωρίσιμο δακτυλικό αποτύπωμα, το DoH δεν διαγράφει αυτά τα σήματα.

Επίσης, δεν προστατεύει κάθε εφαρμογή εκτός εάν έχει ρυθμιστεί σε επίπεδο συστήματος και η εφαρμογή σέβεται αυτήν τη ρύθμιση παραμέτρων. Ένα πρόγραμμα περιήγησης μπορεί να χρησιμοποιεί ασφαλές DNS, ενώ μια άλλη εφαρμογή στην ίδια συσκευή χρησιμοποιεί διαφορετική διαδρομή DNS.Ορισμένες εφαρμογές διαχειρίζονται το δικό τους δίκτυο και δεν ευθυγραμμίζονται πάντα με τις ρυθμίσεις του συστήματος ή του προγράμματος περιήγησης. Αυτός είναι ο λόγος για τον οποίο το DomainHost (DoH) μπορεί να δημιουργήσει μια ψευδή αίσθηση πλήρους προστασίας: βελτιώνει το απόρρητο των ερωτημάτων DNS, αλλά δεν προστατεύει τις μεταφορές αρχείων, την κίνηση μηνυμάτων, τις βιντεοκλήσεις, τις συνδέσεις παιχνιδιών, τον συγχρονισμό στο παρασκήνιο ή τις εφαρμογές ροής με τον τρόπο που θα έκανε ένα VPN.

Τι προστατεύει ένα VPN και τι δεν μπορεί να κρύψει

Ένα VPN προστατεύει ένα διαφορετικό μέρος του ταξιδιού σας. Δημιουργεί μια κρυπτογραφημένη σήραγγα μεταξύ της συσκευής σας και ενός διακομιστή VPN, δρομολογώντας την κίνηση στο διαδίκτυο μέσω αυτού του διακομιστή . Ο πάροχος υπηρεσιών διαδικτύου ή το τοπικό δίκτυο Wi-Fi σας βλέπει μια κρυπτογραφημένη σύνδεση στον διακομιστή VPN και όχι μια σαφή εικόνα κάθε ιστότοπου και υπηρεσίας στην οποία συνδέεστε. Επιπλέον, το VPN αλλάζει τη δημόσια διεύθυνση IP που βλέπουν οι ιστότοποι και οι εφαρμογές: αντί για τη διεύθυνση IP του οικιακού σας παρόχου ή του παρόχου κινητής τηλεφωνίας σας, ο προορισμός βλέπει τη διεύθυνση IP του διακομιστή VPN. Αυτό μπορεί να μειώσει την παρακολούθηση βάσει τοποθεσίας, να σας βοηθήσει να παρακάμψετε ορισμένα προφίλ ISP και να κάνει τη χρήση του δημόσιου Wi-Fi ασφαλέστερη.

Ένα πλήρες VPN μπορεί να προστατεύσει προγράμματα περιήγησης, εφαρμογές ροής, προγράμματα-πελάτες email, εργαλεία δημιουργίας αντιγράφων ασφαλείας cloud, ανταλλαγή μηνυμάτων, παιχνίδια και υπηρεσίες παρασκηνίου. Μπορεί επίσης να δρομολογήσει αιτήματα DNS μέσω της κρυπτογραφημένης σήραγγας όταν έχει ρυθμιστεί σωστά.Γι' αυτό είναι καλή ιδέα να εκτελέσετε έναν έλεγχο διαρροής DNS. Ωστόσο, ένα VPN δεν είναι μαγικό. Αν συνδεθείτε σε ένα κοινωνικό δίκτυο, λογαριασμό email, υπηρεσία streaming ή ηλεκτρονικό κατάστημα, η υπηρεσία αυτή εξακολουθεί να γνωρίζει ποιοι είστε. Μπορεί να αποκρύψει την αρχική σας διεύθυνση IP, αλλά δεν ανωνυμοποιεί τα στοιχεία σύνδεσής σας. Το ίδιο ισχύει και για οτιδήποτε στέλνετε απευθείας: το όνομά σας, τη διεύθυνση email σας, τα στοιχεία πληρωμής σας, τη διεύθυνση αποστολής σας, τις φωτογραφίες ή τα μηνύματά σας.

Τα cookies και η λήψη δακτυλικών αποτυπωμάτων από το πρόγραμμα περιήγησης εξακολουθούν να έχουν σημασία. Οι εφαρμογές μπορούν να δημιουργήσουν παρόμοια προβλήματα μέσω αναγνωριστικών διαφημίσεων, δικαιωμάτων, πρόσβασης τοποθεσίας, σάρωσης Bluetooth, ονομάτων κοντινών Wi-Fi και εργαλείων ανάλυσης. Το κακόβουλο λογισμικό είναι ένα άλλο δύσκολο εμπόδιο, επειδή μπορεί να καταγράψει δεδομένα πριν φτάσουν στη σήραγγα VPN.Με λίγα λόγια, ένα VPN αποκρύπτει και κρυπτογραφεί πολλή δραστηριότητα, αλλά δεν συγκαλύπτει κάθε ψηφιακό αποτύπωμα.

Το DoH και ένα VPN μπορούν να χρησιμοποιηθούν ταυτόχρονα

Ναι, μπορούν να συνδυαστούν, αλλά η ιδανική ρύθμιση εξαρτάται από τον τρόπο με τον οποίο η συσκευή, το πρόγραμμα περιήγησης και η εφαρμογή VPN χειρίζονται το DNS. Σε πολλές περιπτώσεις, η απλούστερη λύση είναι να αφήσετε το VPN να χειρίζεται το DNS . Μια καλή εφαρμογή θα πρέπει να στέλνει ερωτήματα DNS μέσω της κρυπτογραφημένης σήραγγας, ώστε ο πάροχος υπηρεσιών Διαδικτύου (ISP) σας να μην τα λαμβάνει απευθείας. Με αυτόν τον τρόπο, αποκτάτε απόρρητο DNS ως μέρος της σύνδεσης VPN χωρίς να χρειάζεται να προσαρμόσετε ξεχωριστά τις ρυθμίσεις του προγράμματος περιήγησής σας.

Το πρόβλημα προκύπτει όταν το πρόγραμμα περιήγησης χρησιμοποιεί τη δική του διαμόρφωση Domain Authority (DoH) ενώ το VPN επιχειρεί να διαχειριστεί το DNS σε επίπεδο συστήματος. Τίποτα δεν μπορεί να σπάσει, αλλά υπάρχει σύγχυση : μπορεί να νομίζετε ότι όλα τα ερωτήματα περνούν μέσω του VPN, αλλά στην πραγματικότητα, το πρόγραμμα περιήγησης στέλνει κάποια από μόνο του σε διαφορετικό αναλυτή. Εδώ είναι που είναι χρήσιμος ένας έλεγχος διαρροής DNS. Εάν, μετά τη σύνδεση στο VPN, δείτε τους διακομιστές DNS του ISP σας, κάτι δεν λειτουργεί όπως αναμένεται. Εάν δείτε διακομιστές που σχετίζονται με το VPN, η διαμόρφωση πιθανότατα λειτουργεί σωστά.

Πότε είναι επαρκές το DoH και πότε συνιστάται ένα VPN;

Το DoH μπορεί να είναι επαρκές όταν το κύριο μέλημά σας είναι το βασικό απόρρητο των ερωτημάτων DNS στο πρόγραμμα περιήγησής σας. Σε ένα αξιόπιστο οικιακό δίκτυο, η ενεργοποίηση του Secure DNS μειώνει την έκθεση σε απλό κείμενο χωρίς να απαιτείται να αλλάξετε την τοποθεσία σας ή να ασφαλίσετε όλες τις εφαρμογές σας . Είναι επίσης χρήσιμο σε δίκτυα όπου το φιλτράρισμα ή η χειραγώγηση DNS αποτελεί πρόβλημα, επειδή η μεταφορά μέσω HTTPS καθιστά πιο δύσκολη την εύκολη επιθεώρηση ή τροποποίηση. Αυτό δεν σημαίνει ότι παρακάμπτει όλους τους περιορισμούς ή είναι ανθεκτικό στη λογοκρισία, αλλά αποτελεί σημαντική βελτίωση σε σχέση με το μη κρυπτογραφημένο DNS. Επιπλέον, είναι ελαφρύ: δεν χρειάζεται να επιλέξετε διακομιστή VPN ή να αλλάξετε σημαντικά τη δρομολόγησή σας και συνήθως δεν θα παρατηρήσετε σημαντικό αντίκτυπο στην ταχύτητα.

Ένα VPN έχει τη μεγαλύτερη σημασία όταν θέλετε προστασία σε ολόκληρη τη συσκευή, όχι μόνο αναζητήσεις DNS. Αυτό περιλαμβάνει αεροδρόμια, ξενοδοχεία, σχολεία, χώρους συνεργασίας, καφετέριες και ενοικιαζόμενα καταλύματα . Σε κοινόχρηστα δίκτυα, δεν γνωρίζετε ποιος ελέγχει τον δρομολογητή, ποιος άλλος είναι συνδεδεμένος ή αν κάποιος προσπαθεί να υποκλέψει την κίνηση. Ένα VPN βοηθά επίσης όταν δεν θέλετε ο πάροχος υπηρεσιών Διαδικτύου (ISP) σας να δημιουργήσει ένα προφίλ των μοτίβων περιήγησής σας: παρόλο που το HTTPS προστατεύει το περιεχόμενο της σελίδας, τα μεταδεδομένα δικτύου μπορούν να αποκαλύψουν χρήσιμα μοτίβα. Τα ταξίδια είναι ένα άλλο σαφές παράδειγμα: ένα VPN μπορεί να κάνει τη σύνδεσή σας πιο συνεπή, να σας προστατεύσει σε άγνωστα δίκτυα και να κάνει τους ιστότοπους να βλέπουν την τοποθεσία του διακομιστή VPN αντί για την προσωρινή τοπική σας σύνδεση.

Τεχνικές λεπτομέρειες των API DoH του Δημόσιου DNS της Google

Το Google Public DNS προσφέρει δύο διαφορετικά API DoH. Το ένα έχει σχεδιαστεί για RFC 8484 και δέχεται αιτήματα GET και POST στη διεύθυνση URL https://dns.google/dns-query. Το άλλο είναι ένα JSON API που υποστηρίζει μόνο αιτήματα GET στη διεύθυνση https://dns.google/resolve.Υπάρχει επίσης μια διεπαφή ιστού στη διεύθυνση https://dns.google/ που εμφανίζει αποτελέσματα JSON στο πρόγραμμα περιήγησης, αλλά δεν εφαρμόζει API ως τέτοιο. Αυτή η διεπαφή δεν πρέπει να συγχέεται με τις διευθύνσεις URL API ή με το https://dns.google/query. Η υπηρεσία δεν υποστηρίζει μη ασφαλείς διευθύνσεις URL HTTP και το DoH υποστηρίζεται επίσης από τη δημόσια υπηρεσία DNS64 της Google, αν και σε αυτήν την περίπτωση, μόνο IPv6. Η τεκμηρίωση ασφαλούς μεταφοράς της Google περιλαμβάνει παραδείγματα με curl και λεπτομέρειες για TLS, DoT και DoH.

Διαθέσιμες μέθοδοι HTTP

Η μέθοδος GET μπορεί να μειώσει την καθυστέρηση επειδή αποθηκεύει στην προσωρινή μνήμη πιο αποτελεσματικά. Τα αιτήματα GET του RFC 8484 πρέπει να περιλαμβάνουν μια παράμετρο `?dns=` με ένα μήνυμα DNS με κωδικοποίηση Base64Url και είναι η μόνη μέθοδος που υποστηρίζεται από το JSON API. Η μέθοδος POST είναι επίσης διαθέσιμη μόνο στο RFC 8484 και χρησιμοποιεί ένα δυαδικό μήνυμα DNS με `application/dns-message` τόσο στο σώμα του αιτήματος όσο και στο σώμα της απόκρισης. Η μέθοδος HEAD δεν υποστηρίζεται προς το παρόν και επιστρέφει ένα σφάλμα 400 Bad Request. Άλλες μέθοδοι επιστρέφουν σφάλματα 501 Not Implemented.

Κωδικοί κατάστασης και σφάλματα

Το API επιστρέφει αρκετούς κωδικούς HTTP που αξίζει να γνωρίζετε. Ένα OK 200 υποδεικνύει ότι η ανάλυση HTTP και η επικοινωνία με τον αναλυτή DNS ήταν επιτυχείς . Το σώμα της απόκρισης μπορεί να είναι μια δυαδική απόκριση DNS ή JSON ανάλογα με το τελικό σημείο, την κεφαλίδα Accept και τις παραμέτρους GET. Σημείωση: ένα σφάλμα HTTP μπορεί επίσης να είναι σφάλμα DNS, επομένως συνιστάται να ελέγξετε τον κωδικό απόκρισης DNS, για παράδειγμα, το πεδίο "Status" του JSON, για σφάλματα όπως SERVFAIL, FORMERR, REFUSED ή NOTIMP.

• 301 Μεταφέρθηκε Μόνιμα: Ο πελάτης πρέπει να επαναλάβει το αίτημα στη διεύθυνση URL που καθορίζεται στην Τοποθεσία. Εάν το αρχικό αίτημα ήταν POST, θα πρέπει να επαναλάβει μόνο με GET εάν η νέα διεύθυνση URL καθορίζει μια παράμετρο DNS. Διαφορετικά, πρέπει να επαναλάβει με POST. Ενδέχεται επίσης να εμφανιστούν κωδικοί κατάστασης 302, 307 και 308 και οι πελάτες DoH πρέπει να χειριστούν και τους τέσσερις. Οι μόνιμοι κωδικοί κατάστασης 301 και 308 μπορούν να αποθηκευτούν στην προσωρινή μνήμη επ' αόριστον. Τα αιτήματα POST που λαμβάνουν κωδικό κατάστασης 307 ή 308 πρέπει πάντα να επαναλαμβάνονται με POST.
• 400 Κακό αίτημα: Προβλήματα κατά την ανάλυση παραμέτρων GET ή ένα μη έγκυρο μήνυμα αιτήματος DNS. Τα περισσότερα μη έγκυρα μηνύματα DNS λαμβάνουν ένα 200 OK με FORMERR, αλλά εμφανίζονται σφάλματα HTTP για μη αναγνώσιμα μηνύματα χωρίς ενότητα ερώτησης, με κωδικό QR που υποδεικνύει μια απάντηση ή με άσκοπους συνδυασμούς κωδικών.
• 413 Πολύ μεγάλο ωφέλιμο φορτίο: Το κύριο μέρος ενός αιτήματος POST RFC 8484 υπερβαίνει το μέγιστο μέγεθος μηνύματος των 512 byte.
• 414 URI πολύ μεγάλο: Η κεφαλίδα ερωτήματος GET ήταν πολύ μεγάλη ή η παράμετρος dns ξεπέρασε τα 512 byte.
• 415 Μη υποστηριζόμενος τύπος μέσου: Το σώμα του POST δεν είχε τον τύπο περιεχομένου κεφαλίδα application/dns-message.
• 429 Πάρα πολλά αιτήματα: Έχουν σταλεί πάρα πολλά αιτήματα σε μια δεδομένη περίοδο. Ο πελάτης πρέπει να περιμένει μέχρι την ώρα που καθορίζεται στην κεφαλίδα "Επανάληψη-Μετά".
• 500 Εσωτερικό σφάλμα διακομιστή: Εσωτερικά σφάλματα στην υπηρεσία DoH.
• 501 Δεν έχει εφαρμοστεί: Μόνο οι εντολές GET και POST εφαρμόζονται. Οι υπόλοιπες επιστρέφουν αυτό το σφάλμα.
• 502 Κακή Πύλη: Η υπηρεσία DoH δεν μπόρεσε να επικοινωνήσει με τους αναλυτές δημόσιων DNS της Google. Η δοκιμή διαφορετικής διεύθυνσης μπορεί να λειτουργήσει, αλλά ένα πιο αποτελεσματικό σχέδιο δημιουργίας αντιγράφων ασφαλείας είναι να δοκιμάσετε μια άλλη υπηρεσία DoH ή να μεταβείτε στο παραδοσιακό DNS χρησιμοποιώντας UDP ή TCP στο 8.8.8.8.

Βέλτιστες πρακτικές για την προστασία της ιδιωτικής ζωής και την απόδοση

Οι προγραμματιστές εφαρμογών DoH θα πρέπει να περιορίσουν τις κεφαλίδες HTTP. Κεφαλίδες όπως Cookie, User-Agent και Accept-Language μπορούν να αποκαλύψουν πληροφορίες σχετικά με την υλοποίηση του προγράμματος-πελάτη και να συμβάλουν στην αποανωνυμοποίηση . Συνιστάται να αποστέλλονται μόνο οι κεφαλίδες που είναι απαραίτητες για το DoH: Host, Content-Type (για αιτήματα POST) και, εάν χρειάζεται, Accept. Η κεφαλίδα User-Agent θα πρέπει να περιλαμβάνεται στις εκδόσεις ανάπτυξης ή δοκιμής. Συνιστάται επίσης να χρησιμοποιείτε επιλογές συμπλήρωσης EDNS για να συντομεύσετε τα ερωτήματα σε κοινά μήκη και να δυσκολεύσετε την ανάλυση επισκεψιμότητας. Η συμπλήρωση HTTP/2 είναι δυνατή, αλλά σε αντίθεση με την συμπλήρωση EDNS, δεν δημιουργεί συμπλήρωση στις απαντήσεις του διακομιστή DoH.

Η μέθοδος POST στο RFC 8484 θα πρέπει να χρησιμοποιείται μόνο σε εφαρμογές ή σε λειτουργίες προγράμματος περιήγησης που είναι ευαίσθητες στην προστασία της ιδιωτικής ζωής. Η χρήση του POST μειώνει την χωρητικότητα της προσωρινής μνήμης και μπορεί να αυξήσει την καθυστέρηση, επομένως γενικά δεν συνιστάται . Ωστόσο, η μείωση του μεγέθους της προσωρινής μνήμης μπορεί να είναι σκόπιμη για εφαρμογές που θέλουν να αποτρέψουν επιθέσεις συγχρονισμού εφαρμογών ιστού που στοχεύουν στην ανακάλυψη των τομέων που έχει επισκεφτεί πρόσφατα ο χρήστης. Η προσέγγιση HTTPS έχει επίσης πρακτικά πλεονεκτήματα: Τα API HTTPS είναι ευρέως διαθέσιμα και υποστηρίζονται, απλοποιώντας την υλοποίηση. Μια υπηρεσία HTTPS παρέχει στις εφαρμογές ιστού πρόσβαση σε όλους τους τύπους εγγραφών DNS, αποφεύγοντας τους περιορισμούς των API του προγράμματος περιήγησης ή του λειτουργικού συστήματος που συνήθως περιορίζονται σε αναζητήσεις από κεντρικό υπολογιστή σε διεύθυνση. Και οι υπολογιστές-πελάτες που υλοποιούν HTTPS μέσω UDP με QUIC μπορούν να αποφύγουν προβλήματα όπως το μπλοκάρισμα κεφαλής γραμμής που προκύπτουν με το TCP. Εάν αντιμετωπίσετε κάποιο σφάλμα ή θέλετε να ζητήσετε μια νέα λειτουργία, θα πρέπει να αναφέρετε το πρόβλημα που σχετίζεται με το DoH μέσω των συνήθων καναλιών.

Συνήθεις ερωτήσεις σχετικά με το DoH και το VPN

Μία από τις πιο συχνές ερωτήσεις είναι αν έχει νόημα να χρησιμοποιείτε το DoH όταν χρησιμοποιείτε ήδη ένα VPN. Είναι δυνατό, αλλά η πιο πρακτική προσέγγιση είναι συνήθως να αφήσετε το VPN να χειριστεί το DNS και να επαληθεύσετε με μια δοκιμή διαρροής ότι τα ερωτήματα περνούν από τα σωστά κανάλια. Εάν το πρόγραμμα περιήγησης στέλνει τα δικά του ερωτήματα προς τη μία κατεύθυνση και το VPN προς την άλλη, μπορεί να βρεθείτε σε μια δυσάρεστη έκπληξη.

Μια άλλη συνηθισμένη ερώτηση είναι εάν το DoH εμποδίζει τον πάροχο διαδικτύου σας να βλέπει ποιους ιστότοπους επισκέπτεστε. Το DoH αποκρύπτει τα ερωτήματα DNS από πολλούς παρατηρητές, αλλά δεν καταργεί όλα τα μεταδεδομένα ούτε αποκρύπτει τη διεύθυνση IP σας : ο πάροχος υπηρεσιών Διαδικτύου σας μπορεί ακόμα να δει σε ποιες διευθύνσεις IP συνδέεστε και άλλες πληροφορίες δικτύου. Για ευρύτερη προστασία, χρειάζεστε ένα VPN ή έναν συνδυασμό πολλαπλών επιπέδων απορρήτου.

Αξίζει επίσης να αναρωτηθούμε εάν το DomainHost (DoH) επαρκεί σε δημόσιο Wi-Fi. Μπορεί να βοηθήσει στην αποτροπή της εύκολης ανάγνωσης των ερωτημάτων DNS από τον πάροχο δικτύου, αλλά δεν προστατεύει ολόκληρη τη σύνδεση ή την κίνηση όλων των εφαρμογών . Σε αεροδρόμια, ξενοδοχεία και καφετέριες, η χρήση ενός VPN είναι συνήθως πιο ολοκληρωμένη, ειδικά αν δεν γνωρίζετε ποιος ελέγχει τον δρομολογητή ή αν είναι συνδεδεμένοι άλλοι χρήστες.

Το Σύστημα Ονομάτων Τομέα (DoH) και τα VPN δεν είναι άμεσοι αντίπαλοι, αλλά μάλλον εργαλεία με διαφορετικές δυνατότητες. Το DoH κρυπτογραφεί την αναζήτηση τομέα και μειώνει την έκθεση σε αυτό το μέρος της διαδικασίας. Ένα VPN κρυπτογραφεί τη διαδρομή μεταξύ της συσκευής σας και ενός διακομιστή και αλλάζει τη διεύθυνση IP που βλέπουν οι προορισμοί . Κανένα από τα δύο δεν σας καθιστά αόρατους: λογαριασμοί, cookies, δακτυλικά αποτυπώματα προγράμματος περιήγησης, δικαιώματα εφαρμογών, κακόβουλο λογισμικό και οποιαδήποτε δεδομένα κοινοποιείτε απευθείας μπορούν ακόμα να σας αναγνωρίσουν. Αλλά αυτό δεν τα καθιστά άχρηστα. Απλώς σημαίνει ότι το καθένα έχει τον ρόλο του. Το DoH προστατεύει την αναζήτηση διεύθυνσης. Ένα VPN προστατεύει πολύ περισσότερο τη διαδρομή που ακολουθούν τα δεδομένα σας.