DNS HTTPS:n kautta: mikä se on ja miten se suojaa kyselyitäsi

Alfa-opas » Tietojenkäsittely » DNS HTTPS:n kautta: mikä se on ja miten se suojaa kyselyitäsi

Kun kirjoitat verkko-osoitteen, kulissien takana toimii komponentti varmistaakseen, että pääset oikealle sivustolle: verkkotunnusten nimipalvelu (DNS). DNS muuntaa helposti muistettavat nimet IP-osoitteiksi , jotka tietokoneet ymmärtävät. Se on kätevää, kyllä, mutta vuosien ajan se toimi merkittävän haavoittuvuuden kanssa: nämä kyselyt lähetettiin salaamattomina. Tästä syystä HTTPS:n kautta toimiva DNS, joka tunnetaan myös nimellä DoH, on tullut niin suosituksi – ylimääräinen suojauskerros, joka vaikeuttaa internet-palveluntarjoajasi mahdollisuuksia seurata, millä verkkotunnuksilla vierailet.

On tärkeää selventää yksi asia heti alkuun: DoH parantaa DNS-kyselyiden yksityisyyttä, mutta se ei ole VPN eikä muuta koko yhteyttäsi salaiseksi tunneliksi . Tässä artikkelissa tutkimme tarkalleen, mitä se on, miksi siitä on tullut suosittu, miten se aktivoidaan Chromessa, Edgessä ja Firefoxissa, sen etuja ja haittoja, miten se eroaa TLS:n ja VPN:n kautta käytettävästä DNS:stä sekä sen teknisten ja käytännön rajoitusten laajuutta.

Mikä on DNS ja miksi perinteinen järjestelmä ei riitä?

DNS-palvelimet ovat yksi niistä komponenteista, joita lähes kukaan ei tarkastele, mutta ne ovat suuren osan verkkoselailun perusta. Niiden tehtävänä on yhdistää verkkotunnus vastaavan palvelimen IP-osoitteeseen . Kun vierailet verkkosivustolla, tietokoneesi ei ymmärrä kirjaimia: se tarvitsee IP-osoitteen tietääkseen, mihin koneeseen muodostaa yhteys. Monissa reitittimissä on internet-palveluntarjoajan jo määrittämät DNS-palvelimet, mikä tekee prosessista kätevän, vaikka se jättää myös näkyvän jäljen infrastruktuuria hallinnoivalle henkilölle.

Ongelmana on, että perinteiset DNS-kyselyt tehdään selkotekstinä ja ilman suojausta . Tämä avaa oven salakuuntelulle, välikäsihyökkäyksille ja vastauksen manipuloinnille. Internet-palveluntarjoaja voi saada selville, mitä verkkotunnuksia haet ja milloin; jaetussa verkossa oleva hyökkääjä voi yrittää siepata pyynnön ja palauttaa vilpillisen vastauksen. Tätä tekniikkaa kutsutaan DNS-kaappaukseksi, ja se voi lopulta johtaa sinut väärennetylle sivulle, ei-toivotulle mainonnalle tai sivustolle, joka on suunniteltu varastamaan tietoja. Hallitukset ja internet-palveluntarjoajat ovat myös perinteisesti hyödyntäneet näitä heikkouksia sensuurin toteuttamiseen, verkkotunnusten estämiseen tai lisämainosten näyttämiseen.

• Passiivinen kuuntelu: Joku tarkkailee kyselyitä ja päättelee, mitä palveluita tai verkkosivustoja käytät usein.
• Välimies: Viestintä siepataan ja vastausta muokataan tekeytymään palvelimeksi.
• Estäminen ja suodattaminen: Se estää tiettyjen verkkotunnusten ratkaisemisen sisällön saatavuuden hallitsemiseksi.

DNS HTTPS:n kautta: Salaa kysely, jotta se ei ole kaikkien nähtävissä.

DNS HTTPS:n kautta eli DoH on ratkaisu, joka hyödyntää HTTPS-protokollaa DNS-kyselyiden ja -vastausten lähettämiseen salatussa muodossa . Selkeän DNS-pyynnön lähettämisen sijaan laite kapseloi sen suojattuun yhteyteen, tyypillisesti käyttämällä porttia 443, jota suojatut verkkosivustot käyttävät. Tämä suojaa sekä kyselyä että vastausta estäen ulkopuolista tarkkailijaa lukemasta niitä helposti.

Jotta tämä toimisi, kyselyn kohteena olevan DNS-palvelimen on tuettava myös domain-based DNS:ää (DoH ). Pelkkä asetuksen ottaminen käyttöön selaimessa ei riitä: valitun resolverin on noudatettava tätä standardia. Spesifikaatio on kehittynyt jatkuvasti, ja sitä pidetään edelleen kehittyvänä teknologiana, vaikka vuodesta 2018 lähtien yritykset, kuten Google ja Mozilla Foundation, ovat testanneet ja integroineet sitä. Parannetun yksityisyyden lisäksi testit osoittavat, että DoH voi vähentää viivettä ja nopeuttaa kyselyitä, koska ei ole aina tarpeen selvittää koko domainia, vaan vain vähimmäisvaatimus.

DoH:n edut: enemmän yksityisyyttä, vähemmän manipulointia ja parempi suorituskyky

Ilmeisin etu on turvallisuus. Koska DNS-kyselyt kulkevat salattuina, niitä on paljon vaikeampi vakoilla tai muokata . Tämä vaikeuttaa välimieshyökkäyksiä, vähentää altistumista julkisissa Wi-Fi-verkoissa ja estää paikallista operaattoria näkemästä selvästi, mitä verkkotunnuksia pyydät. Koska DoH-liikenne käyttää porttia 443, se sekoittuu muihin HTTPS-yhteyksiin ja on vaikea erottaa tavallisesta verkkovierailusta.

On myös suorituskykyyn liittyviä syitä. DoH voi vähentää viivettä ja nopeuttaa DNS-tiedonsiirtoa nimien selvitystapojen muutosten ja välimuistin paremman käytön ansiosta. Esimerkiksi joidenkin API-rajapintojen GET-metodi on suunniteltu tehokkaampaan välimuistiin tallennukseen. Käytännössä tämä voi tarkoittaa hieman nopeampaa selaamista, vaikka se ei olekaan mikään ihmelääke, eikä parannus ole aina havaittavissa. Lisäksi, koska se on toteutettu selaimessa, käyttäjän ei tarvitse odottaa internet-palveluntarjoajan aktivoivan sitä.

Haittoja ja keskusteluja: kun salaus vaikeuttaa elämää

Kaikki eivät suhtaudu verkkotunnuspohjaiseen salaukseen (DoH) myönteisesti. Sama salaus, joka suojaa käyttäjää, vaikeuttaa myös verkon valvontaa . Monet vanhempien valvontaohjelmat käyttävät DNS-kyselyitä selvittääkseen, mille verkkosivustoille lapset yrittävät päästä. DoH:n kanssa tästä tehtävästä tulee paljon monimutkaisempi ja voi olla jopa mahdotonta. Samanlainen tilanne on yritysten verkonvalvojilla, jotka menettävät näkyvyyden kyselyn kohteena oleviin verkkotunnuksiin eivätkä voi valvoa tiettyjä sääntöjä yhtä helposti.

Internet-palveluntarjoajat menettävät myös kyvyn valvoa pääsyä ja estää tiettyjä verkkotunnuksia laitoksen pyynnöstä. Tämä herättää oikeutettua keskustelua: jotkut näkevät sen yksityisyyden voittona, kun taas toiset pitävät sitä valvonta- ja hallintaongelmana . DoT:n tapauksessa sitä kritisoidaan myös oman tunnistettavan portin käytöstä, jonka avulla DNS-kyselyt voidaan tunnistaa, vaikka ei tiedetä tarkalleen, mitä kysytään. DoH välttää tämän selkeän signaalin naamioitumalla HTTPS-liikenteeseen, mutta vastineeksi verkonvalvojille jää vähemmän työkaluja viestintänsä hallintaan.

DoH:n ottaminen käyttöön Chromessa, Edgessä ja Firefoxissa

Nimipalveluntarjoajan (DNS) käyttöönotto nykyaikaisessa selaimessa on yleensä helppoa, varsinkin jos se perustuu Chromiumiin tai Firefoxiin. Vaihtoehto on olemassa, vaikka joissakin tapauksissa se on piilotettu lisäasetusten valikoihin . Ennen kuin muutat mitään, on tärkeää ymmärtää, että selain suojaa vain omia kyselyjään: muut laitteen sovellukset saattavat jatkaa eri DNS-järjestelmän käyttöä, jos sitä ei ole määritetty järjestelmätasolla.

Google Chrome

Chromessa nopea tapa on kirjoittaa chrome://flags/#dns-over-https osoitepalkissa. Se vie sinut suoraan Chromen lippuihin tai kokeellisiin ominaisuuksiin.Näet vaihtoehdon nimeltä Suojatut DNS-haut valittuna; napsauta avattavaa valikkoa, jossa lukee Oletus, ja valitse Käytössä. Sinun on sitten käynnistettävä selain uudelleen, jotta muutos tulee voimaan.

Microsoft Edge

Chromium-pohjaisessa Edgessä prosessi on käytännössä identtinen. Avaa selaimesi ja kirjoita edge://flags/#dns-over-https hakupalkissaKun syötät Edgen Flags-komennon, sama Secure DNS lookups -vaihtoehto tulee näkyviin. Vaihda Oletus-asetukseksi Käytössä ja käynnistä selain uudelleen, kun sitä pyydetään.

Mozilla Firefox

Firefoxissa sinun ei tarvitse mennä kohtaan Flags. Napsauta valikkopainiketta oikeassa yläkulmassa ja valitse Asetukset . Vieritä Yleiset-osiossa alas ja napsauta Verkkoasetukset. Valitse avautuvassa ikkunassa Ota DNS käyttöön HTTPS:n kautta -kohdan vieressä oleva ruutu. Voit sitten valita palveluntarjoajista, kuten Cloudflare ja NextDNS, jotka suorittavat salauksen HTTPS:n kautta.

DNS TLS:n kautta (DoT): toinen salattu polku

DNS TLS:n kautta eli DoT on toinen tapa suojata DNS-kyselyitä. HTTPS:n sijaan se käyttää TLS:ää TCP-yhteyden ja standardoidun portin 853 kautta. TLS on sama tietoturvaperusta kuin HTTPS, joten idea on samanlainen: luoda salattu tunneli, jossa vain kaksi osallistujaa voivat purkaa salauksen ja käsitellä tiedot. Tämä vaikeuttaa välikäsihyökkäyksiä ja estää kolmatta osapuolta lukemasta tai manipuloimasta kyselyä.

DotT:lla on etunsa, erityisesti verrattuna perinteiseen DNS:ään, joka ei tarjoa turvatoimia. Salaus estää kyberrikollisia sieppaamasta pyyntöjä ja haittaa myös tiettyjä sensuuritoimenpiteitä . Se vaatii kuitenkin yhteensopivuutta sekä asiakkaalta että palvelimelta. Useat palveluntarjoajat tarjoavat yhteensopivia palvelimia, mutta sen käyttö pöytätietokoneella tai kannettavalla tietokoneella vaatii yleensä lisäohjelmistojen asentamista; nykyaikaisella Androidilla, ainakin Android 9:stä lähtien, se on jo integroitu. Ratkaisuja on olemassa Windowsille ja Linuxille, vaikka ne eivät aina ole niin läpinäkyviä kuin haluaisi.

Haittapuolina monet tietosuoja-asiantuntijat kritisoivat DoT:tä yhden tunnistettavan portin käytöstä. Vaikka on mahdotonta tietää, mitä verkkosivustoa käytetään, DNS-liikennettä on mahdollista havaita . Joillekin verkonvalvojille tämä on hyödyllistä, koska se antaa heille yleiskuvan tapahtumista; toisille se on signaali, jonka he mieluummin piilottavat. Lisäksi DoT ei ole vielä yhtä laajalle levinnyt kuin perinteinen DNS, ja sen käyttöönotto palvelinpuolella on rajallista. On huolta siitä, että muutamat yritykset keskittävät yhä enemmän DNS-kyselyitä, mikä saattaa luoda eräänlaisen kansainvälisen monopolin.

DoH vs. DoT: Kaksi tapaa suojata sama asia

DoH:n ja DoT:n tärkein ero on portissa ja siinä, miten liikenne naamioidaan. DoT käyttää omaa porttiaan, 853, kun taas DoH käyttää porttia 443 ja sulautuu normaaleihin HTTPS-yhteyksiin . Tämä näennäisesti pieni ero on herättänyt paljon keskustelua. Yksityisyyden näkökulmasta DNS-kyselyiden erottamattomuus muusta liikenteestä on etu: jos niitä ei tunnisteta, niitä ei voida manipuloida yhtä helposti. Verkonhallinnan näkökulmasta kuitenkin hallinta menetetään, ja tietoturva- tai suodatuskäytäntöjen toteuttaminen vaikeutuu.

Sen ytimessä on kaksi visiota. DoT:n takana on IETF, konsortio, joka kehittää monia internet-standardeja, kun taas Google ja Mozilla-säätiö ovat voimakkaasti ajaneet DoH:ta. Nämä eivät ole vastakkaisia ​​teknologioita, mutta ne edustavat erilaisia ​​tapoja ymmärtää yksityisyyttä, verkon näkyvyyttä ja välittäjien roolia. Valinta toisen ja toisen välillä riippuu siitä, mitä on suojattava ja kenen on hallittava verkkoa.

DoH vs. VPN: Se suojaa kysymystä, ei koko matkaa

DoH ja VPN mainitaan usein samoissa yksityisyyttä koskevissa keskusteluissa, mutta ne eivät tee samaa asiaa. DoH suojaa nimikyselyä; VPN suojaa tietojesi kulkemaa polkua . Yksinkertaisin tapa ymmärtää tämä on ajatella, että DoH laittaa arkaluontoisen kysymyksen sinetöityyn kirjekuoreen, kun taas VPN kuljettaa koko matkan yksityisen tunnelin läpi ennen paluuta julkiselle tielle. Molemmat voivat parantaa yksityisyyttä, mutta vain toinen on suunniteltu kattamaan kattavasti puhelimien, tablettien ja tietokoneiden liikenteen.

Mitä DNS tekee ennen sivuston latautumista?

Ennen kuin selaimesi voi ladata verkkosivuston, laitteesi on tiedettävä sen sijainti. DNS toimii kuin puhelinluettelo, joka muuntaa verkkosivuston nimen IP-osoitteeksi . Tätä tapahtuu jatkuvasti: kun avaat sivun, käynnistät sovelluksen, päivität sähköpostiasi tai toistat videon. Useimmiten se tapahtuu hiljaa, etkä huomaa sitä, mikä on kätevää, mutta se myös helpottaa sen huomiotta jättämistä yksityisyysongelmana. Perinteiset DNS-kyselyt eivät ole salattuja, joten internet-palveluntarjoajasi, työnantajasi, koulusi, kahvilan Wi-Fi-verkko tai hotellin verkko voi nähdä, mihin verkkotunnuksiin laitteesi yrittää päästä. Ne eivät näe HTTPS-sivun koko sisältöä, mutta ne saavat melko paljastavan kuvan toiminnastasi.

DNS-kysely ei paljasta jokaista katselemaasi sivua tai kaikkea, mitä kirjoitat lomakkeeseen, mutta verkkotunnusluettelo voi paljastaa tapoja, kiinnostuksen kohteita, työvälineitä, terveystutkimusta tai talouspalveluita . Siksi salatusta DNS:stä on tullut hyödyllinen yksityisyysominaisuus. Se ei paljasta kaikkea, mutta se paljastaa enemmän kuin monet ihmiset ymmärtävät.

Mitä DoH piilottaa ja mitä se paljastaa?

DoH lähettää DNS-kyselyitä HTTPS:n kautta, joka on sama salattu protokolla, jota suojatut verkkosivustot käyttävät. Pyyntö jättää laitteesi salattuna ja saapuu resolverille, joka tukee standardia . Julkisissa Wi-Fi-verkoissa tämä voi vaikeuttaa verkko-operaattorin vahingossa tapahtuvaa kyselyiden lukemista. Jos internet-palveluntarjoajasi hallinnoi DNS:ää, DoH-resolveriin vaihtaminen voi estää heitä näkemästä näitä kyselyitä tavalliseen tapaan. Lisäksi, jos verkko manipuloi nimenselvityksen tuloksia, salattu DNS voi vähentää joitakin manipuloinnin muotoja.

DoH piilottaa nyt kyselyn, ei koko keskustelua. Se saattaa estää joitakin tarkkailijoita näkemästä verkkotunnushakua selvästi, mutta se ei muuta koko internetyhteyttäsi salatuksi tunneliksi . Kun laite tietää IP-osoitteen, loput yhteydestä noudattaa normaalia polkuaan, ellei jokin toinen yksityisyystyökalu muuta tätä reittiä. DoH ei piilota todellista IP-osoitettasi verkkosivustoilta, sovelluksilta tai palveluilta, joihin muodostat yhteyden, eikä se saa sinua näyttämään siltä, ​​että olet eri kaupungissa tai maassa. Jos kirjaudut tilille, palvelu tietää, että se olet sinä. Jos selaimessa on evästeitä, tallennettuja istuntoja, mainostunnisteita tai tunnistettavissa oleva sormenjälki, DoH ei poista näitä signaaleja.

Se ei myöskään suojaa kaikkia sovelluksia, ellei sitä ole määritetty järjestelmätasolla ja sovellus noudata tätä asetusta. Yksi selain saattaa käyttää suojattua DNS:ää, kun taas toinen sovellus samalla laitteella käyttää eri DNS-polkua . Jotkin sovellukset hallitsevat omaa verkkoaan eivätkä aina ole linjassa järjestelmän tai selaimen asetusten kanssa. Siksi DoH voi luoda valheellisen kuvan täydellisestä suojauksesta: se parantaa DNS-kyselyiden yksityisyyttä, mutta se ei suojaa tiedostonsiirtoja, viestiliikennettä, videopuheluita, peliyhteyksiä, taustalla synkronointia tai suoratoistosovelluksia samalla tavalla kuin VPN tekisi.

Mitä VPN suojaa ja mitä se ei voi piilottaa?

VPN suojaa matkaasi eri tavalla. Se luo salatun tunnelin laitteesi ja VPN-palvelimen välille ja reitittää internetliikenteesi kyseisen palvelimen kautta . Internet-palveluntarjoajasi tai paikallinen Wi-Fi-verkko näkee salatun yhteyden VPN-palvelimeen, ei selkeää kuvaa jokaisesta sivustosta ja palvelusta, johon yhdistät. Lisäksi VPN muuttaa verkkosivustojen ja sovellusten näkemän julkisen IP-osoitteen: koti- tai matkapuhelinoperaattorisi IP-osoitteen sijaan kohde näkee VPN-palvelimen IP-osoitteen. Tämä voi vähentää sijaintiin perustuvaa seurantaa, auttaa sinua ohittamaan joitakin internet-palveluntarjoajaprofiileja ja tehdä julkisen Wi-Fi-verkon käytöstä turvallisempaa.

Kattava VPN voi suojata selaimia, suoratoistosovelluksia, sähköpostiohjelmia, pilvivarmuuskopiointityökaluja, viestisovelluksia, pelejä ja taustapalveluita. Se voi myös reitittää DNS-pyyntöjä salatun tunnelin kautta, kun se on määritetty oikein , minkä vuoksi on hyvä ajatus suorittaa DNS-vuototesti. VPN ei kuitenkaan ole taikuutta. Jos kirjaudut sisään sosiaaliseen mediaan, sähköpostitilille, suoratoistopalveluun tai verkkokauppaan, kyseinen palvelu tietää silti kuka olet. Se voi piilottaa alkuperäisen IP-osoitteesi, mutta se ei anonymisoi kirjautumistasi. Sama pätee kaikkeen, mitä lähetät suoraan: nimeesi, sähköpostiosoitteeseesi, maksutietoihisi, toimitusosoitteeseesi, valokuviisi tai viesteihisi.

Evästeillä ja selaimen sormenjälkien ottamisella on edelleen merkitystä. Sovellukset voivat aiheuttaa samanlaisia ​​ongelmia mainostamalla tunnisteita, käyttöoikeuksia, sijainnin käyttöä, Bluetooth-skannausta, lähellä olevien Wi-Fi-verkkojen nimiä ja skannaustyökaluja. Haittaohjelmat ovat toinen vaikea este, koska ne voivat tallentaa tietoja jo ennen kuin ne edes saavuttavat VPN-tunnelin . Lyhyesti sanottuna VPN piilottaa ja salaa paljon toimintaa, mutta se ei peitä kaikkia digitaalisia sormenjälkiä.

DoH:ta ja VPN:ää voidaan käyttää samanaikaisesti

Kyllä, ne voidaan yhdistää, mutta ihanteellinen kokoonpano riippuu siitä, miten laite, selain ja VPN-sovellus käsittelevät DNS:ää. Monissa tapauksissa yksinkertaisin ratkaisu on antaa VPN:n käsitellä DNS:n . Hyvän sovelluksen tulisi lähettää DNS-kyselyt salatun tunnelin kautta, jotta internet-palveluntarjoajasi ei vastaanota niitä suoraan. Tällä tavoin saat DNS-yksityisyyden osana VPN-yhteyttä ilman, että sinun tarvitsee muuttaa selaimesi asetuksia erikseen.

Ongelma syntyy, kun selain käyttää omaa toimialueen auktoriteetin (DoH) konfiguraatiotaan, kun taas VPN yrittää hallita DNS:ää järjestelmätasolla. Mikään ei välttämättä hajoa, mutta sekaannusta ilmenee : saatat luulla, että kaikki kyselyt kulkevat VPN:n kautta, mutta todellisuudessa selain lähettää joitakin itse eri resolverille. Tässä kohtaa DNS-vuototesti on hyödyllinen. Jos VPN-yhteyden muodostamisen jälkeen näet internet-palveluntarjoajasi DNS-palvelimia, jokin ei toimi odotetulla tavalla. Jos näet VPN:ään liittyviä palvelimia, konfiguraatio toimii todennäköisemmin oikein.

Milloin DoH riittää ja milloin VPN on suositeltava?

DoH voi riittää, kun ensisijainen huolenaiheesi on selaimesi DNS-kyselyiden perusyksityisyys. Luotettavassa kotiverkossa suojatun DNS:n käyttöönotto vähentää selkotekstin altistumista ilman, että sinun tarvitsee muuttaa sijaintiasi tai suojata kaikkia sovelluksiasi . Se on hyödyllinen myös verkoissa, joissa DNS-suodatus tai -manipulointi on huolenaihe, koska HTTPS:n kautta kulkeminen vaikeuttaa sen helppoa tarkistamista tai muokkaamista. Tämä ei tarkoita, että se ohittaisi kaikki rajoitukset tai olisi sensuurisuojattu, mutta se on merkittävä parannus salaamattomaan DNS:ään verrattuna. Lisäksi se on kevyt: sinun ei tarvitse valita VPN-palvelinta tai muuttaa reititystäsi merkittävästi, etkä yleensä huomaa merkittävää vaikutusta nopeuteen.

VPN on järkevin vaihtoehto, kun haluat suojauksen koko laitteelle, ei vain DNS-hakuja. Tämä koskee lentokenttiä, hotelleja, kouluja, coworking-tiloja, kahviloita ja vuokra-asuntoja . Jaetuissa verkoissa et tiedä kuka hallitsee reititintä, kuka muu on yhteydessä tai yrittääkö joku siepata liikennettä. VPN auttaa myös silloin, kun et halua internet-palveluntarjoajasi rakentavan profiilia selaustottumuksistasi: vaikka HTTPS suojaa sivujen sisältöä, verkon metatiedot voivat silti paljastaa hyödyllisiä malleja. Matkustaminen on toinen selkeä esimerkki: VPN voi tehdä yhteydestäsi tasaisemman, suojata sinua tuntemattomissa verkoissa ja saada verkkosivustot näkemään VPN-palvelimen sijainnin tilapäisen paikallisen yhteytesi sijaan.

Googlen julkisten DNS-palveluiden hallintasovellusliittymien tekniset tiedot

Google Public DNS tarjoaa kaksi erillistä DoH-rajapintaa. Toinen on suunniteltu RFC 8484:lle ja hyväksyy GET- ja POST-pyynnöt osoitteessa https://dns.google/dns-query; toinen on JSON-rajapinta, joka tukee vain GET-pyyntöjä osoitteessa https://dns.google/resolve . Osoitteessa https://dns.google/ on myös web-käyttöliittymä, joka näyttää JSON-tulokset selaimessa, mutta se ei toteuta täyttä API:a. Tätä käyttöliittymää ei pidä sekoittaa API-URL-osoitteisiin tai https://dns.google/query-osoitteeseen. Palvelu ei tue suojaamattomia HTTP-URL-osoitteita, ja DoH:ta tukee myös Googlen julkinen DNS64-palvelu, vaikkakin siinä tapauksessa vain IPv6 on tuettu. Googlen suojatun kuljetuksen dokumentaatio sisältää curl-esimerkkejä ja tietoja TLS:stä, DoT:sta ja DoH:sta.

Käytettävissä olevat HTTP-menetelmät

GET-metodi voi vähentää viivettä, koska se tallentaa välimuistiin tehokkaammin. RFC 8484:n GET-pyyntöjen on sisällettävä `?dns=`-parametri ja Base64Url-koodattu DNS-viesti , ja se on ainoa JSON-API:n tukema menetelmä. POST-metodi on myös käytettävissä vain RFC 8484:ssä ja käyttää binääristä DNS-viestiä, jonka sekä pyyntö- että vastausosassa on `application/dns-message`. HEAD-metodia ei tällä hetkellä tueta, ja se palauttaa 400 Bad Request -virheen. Muut menetelmät palauttavat 501 Not Implemented -virheen.

Tilakoodit ja virheet

API palauttaa useita HTTP-koodeja, jotka on syytä tietää. 200 OK osoittaa, että HTTP-jäsennys ja tiedonsiirto DNS-selvittäjän kanssa onnistuivat ; vastauksen runko voi olla binaarinen DNS-vastaus tai JSON päätepisteestä, Accept-otsikosta ja GET-parametreista riippuen. Huomautus: HTTP-virhe voi olla myös DNS-virhe, joten on suositeltavaa tarkistaa DNS-vastauskoodi, esimerkiksi JSON-tiedoston "Status"-kenttä, virheiden, kuten SERVFAIL, FORMERR, REFUSED tai NOTIMP, varalta.

• 301 Siirretty pysyvästi: Asiakkaan on yritettävä pyyntöä uudelleen Sijainti-kohdassa määritetyssä URL-osoitteessa. Jos alkuperäinen pyyntö oli POST, sen tulisi yrittää uudelleen GET-komennolla vain, jos uusi URL-osoite määrittää DNS-parametrin. Muussa tapauksessa sen on toistettava POST-komento. Myös 302-, 307- ja 308-tilakoodit voivat näkyä, ja DoH-asiakkaiden on käsiteltävä kaikki neljä. Pysyvät 301- ja 308-tilakoodit voidaan tallentaa välimuistiin loputtomiin. POST-pyynnöt, jotka saavat 307- tai 308-tilakoodin, on aina yritettävä uudelleen POST-komennolla.
• 400-huono pyyntö: Ongelmia GET-parametrien jäsentämisessä tai virheellinen DNS-pyyntöviesti. Useimmat virheelliset DNS-viestit saavat 200 OK -palautteen FORMERR-komennolla, mutta HTTP-virheitä esiintyy lukukelvottomissa viesteissä, joissa ei ole kysymysosiota, joissa on vastausta osoittava QR-koodi tai joissa on järjettömiä koodiyhdistelmiä.
• 413 Hyötykuorma liian suuri: POST RFC 8484 -pyynnön runko ylittää viestin enimmäiskoon, joka on 512 tavua.
• 414 URI liian pitkä: GET-kyselyn otsikko oli liian suuri tai dns-parametri ylitti 512 tavua.
• 415 Ei-tuettu mediatyyppi: POST-rungon sisältötyypillä ei ollut otsikkoa application/dns-message.
• 429 Liikaa pyyntöjä: Liian monta pyyntöä on lähetetty tietyn ajanjakson aikana. Asiakkaan on odotettava Retry-After-otsikossa määritettyyn aikaan asti.
• 500-sisäinen palvelinvirhe: Sisäisiä virheitä DoH-palvelussa.
• 501 Ei toteutettu: Vain GET ja POST on toteutettu; muut palauttavat tämän virheen.
• 502 Viallinen yhdyskäytävä: DoH-palvelu ei pystynyt kommunikoimaan Googlen julkisten DNS-selvittelijöiden kanssa. Toisen osoitteen kokeileminen saattaa toimia, mutta tehokkaampi varasuunnitelma on kokeilla toista DoH-palvelua tai vaihtaa perinteiseen DNS:ään UDP:n tai TCP:n avulla osoitteessa 8.8.8.8.

Parhaat käytännöt yksityisyyden ja suorituskyvyn varmistamiseksi

DoH-sovelluskehittäjien tulisi rajoittaa HTTP-otsikoita. Otsikot, kuten Cookie, User-Agent ja Accept-Language, voivat paljastaa tietoa asiakassovelluksen toteutuksesta ja edistää anonymisoinnin poistamista . On suositeltavaa lähettää vain DoH:lle välttämättömät otsikot: Host, Content-Type (POST-pyynnöille) ja tarvittaessa Accept. User-Agent-otsikko tulisi sisällyttää kehitys- tai testiversioihin. On myös suositeltavaa käyttää EDNS-täyttöasetuksia kyselyiden lyhentämiseksi yleisiin pituuksiin ja liikenteen analysoinnin vaikeuttamiseksi. HTTP/2-täyttö on mahdollista, mutta toisin kuin EDNS-täyttö, se ei luo täyttöä DoH-palvelinvastauksiin.

RFC 8484:n POST-menetelmää tulisi käyttää vain yksityisyyttä vaativissa sovelluksissa tai selaintiloissa. POST-menetelmän käyttö vähentää välimuistin kapasiteettia ja voi lisätä viivettä, joten sitä ei yleensä suositella . Välimuistin koon pienentäminen voi kuitenkin olla suositeltavaa sovelluksille, jotka haluavat estää verkkosovellusten synkronointihyökkäykset, joiden tarkoituksena on selvittää, millä verkkotunnuksilla käyttäjä on äskettäin vieraillut. HTTPS-lähestymistavalla on myös käytännön etuja: HTTPS-rajapinnat ovat laajalti saatavilla ja niitä tuetaan, mikä yksinkertaistaa toteutusta; HTTPS-palvelu antaa verkkosovelluksille pääsyn kaikentyyppisiin DNS-tietueisiin, välttäen selaimen tai käyttöjärjestelmän rajapintojen rajoitukset, jotka tyypillisesti rajoittuvat isännästä osoitteeseen -hakuihin; ja asiakkaat, jotka toteuttavat HTTPS:n UDP:n yli QUIC:n avulla, voivat välttää TCP:n kanssa esiintyviä ongelmia, kuten riviotsikoiden eston. Jos kohtaat virheen tai haluat pyytää uutta ominaisuutta, sinun tulee ilmoittaa tietosuojaan liittyvästä ongelmasta tavallisten kanavien kautta.

Yleisiä kysymyksiä DoH:sta ja VPN:stä

Yksi useimmin kysytyistä kysymyksistä on, onko DoH:n käyttö järkevää, jos VPN on jo käytössä. Se on mahdollista, mutta käytännöllisin lähestymistapa on yleensä antaa VPN:n hoitaa DNS:n ja varmistaa vuototestillä, että kyselyt kulkevat oikeiden kanavien kautta. Jos selain lähettää omat kyselynsä yhteen suuntaan ja VPN toiseen, saatat kohdata epämiellyttävän yllätyksen.

Toinen yleinen kysymys on, estääkö DoH internet-palveluntarjoajaasi näkemästä, millä verkkosivustoilla vierailet. DoH piilottaa DNS-kyselyt monilta tarkkailijoilta, mutta se ei poista kaikkia metatietoja tai piilota IP-osoitettasi : internet-palveluntarjoajasi voi edelleen nähdä, mihin IP-osoitteisiin muodostat yhteyden, ja muita verkkotietoja. Laajemman suojauksen saamiseksi tarvitset VPN:n tai useiden yksityisyyskerrosten yhdistelmän.

Kannattaa myös kysyä, riittääkö DomainHost (DoH) julkisissa Wi-Fi-verkoissa. Se voi auttaa estämään verkko-operaattoria lukemasta DNS-kyselyitäsi helposti, mutta se ei suojaa koko yhteyttä tai kaikkien sovellusten liikennettä . Lentokentillä, hotelleissa ja kahviloissa VPN:n käyttö on yleensä kattavampaa, varsinkin jos et tiedä kuka reititintä hallitsee tai onko muita ihmisiä yhteydessä.

Nimipalvelu (DoH) ja VPN:t eivät ole suoria kilpailijoita, vaan työkaluja, joilla on erilaiset ominaisuudet. DoH salaa verkkotunnushaun ja vähentää prosessin kyseisen osan altistumista; VPN salaa laitteesi ja palvelimen välisen polun ja muuttaa kohteiden näkemän IP-osoitteen . Kumpikaan ei tee sinusta näkymätöntä: tilit, evästeet, selaimen sormenjäljet, sovellusten käyttöoikeudet, haittaohjelmat ja kaikki suoraan jakamasi tiedot voivat silti tunnistaa sinut. Mutta se ei tee niistä hyödyttömiä. Se tarkoittaa yksinkertaisesti sitä, että kummallakin on oma roolinsa. DoH suojaa osoitehakua; VPN suojaa paljon enemmän tietojesi kulkemaa polkua.