DNS prin HTTPS: ce este și cum protejează interogările dvs.

Ghid alfa » calculatoare » DNS prin HTTPS: ce este și cum protejează interogările dvs.

Când tastezi o adresă web, există o componentă care funcționează în culise pentru a te asigura că ajungi la site-ul corect: Sistemul de nume de domeniu (DNS). DNS traduce numele ușor de reținut în adrese IP pe care computerele le pot înțelege. Este convenabil, da, dar ani de zile a funcționat cu o vulnerabilitate semnificativă: aceste interogări erau transmise necriptate. Acesta este motivul pentru care DNS prin HTTPS, cunoscut și sub numele de DoH, a devenit atât de important - un strat suplimentar de protecție care face mai dificilă urmărirea de către furnizorul tău de servicii de internet a domeniilor pe care le vizitezi.

Este important să clarificăm un lucru de la bun început: DoH îmbunătățește confidențialitatea interogărilor DNS, dar nu este un VPN și nici nu transformă întreaga conexiune într-un tunel secret . Pe parcursul acestui articol, vom explora exact ce este, de ce a devenit popular, cum să îl activăm în Chrome, Edge și Firefox, avantajele și dezavantajele sale, cum diferă de DNS prin TLS și un VPN și amploarea limitărilor sale tehnice și practice.

Ce este DNS și de ce sistemul tradițional este deficitar?

Serverele DNS sunt una dintre acele componente pe care aproape nimeni nu le ia în considerare, însă ele stau la baza unei mari părți a navigării online. Rolul lor este de a lega un nume de domeniu de adresa IP a serverului corespunzător . Când vizitați un site web, computerul dvs. nu înțelege literele: are nevoie de o adresă IP pentru a ști la ce mașină să se conecteze. Multe routere vin cu servere DNS deja configurate de furnizorul de servicii de internet, ceea ce face procesul convenabil, deși lasă și o urmă vizibilă pentru oricine controlează acea infrastructură.

Problema fundamentală este că interogările DNS tradiționale sunt făcute în text simplu și fără protecție . Acest lucru deschide calea pentru interceptare, atacuri de tip „man-in-the-middle” și manipulare a răspunsului. Un furnizor de servicii de internet poate afla ce domenii interogați și când; un atacator dintr-o rețea partajată poate încerca să intercepteze solicitarea și să returneze un răspuns fraudulos. Această tehnică este cunoscută sub numele de deturnare DNS și vă poate duce în cele din urmă la o pagină falsă, publicitate nedorită sau un site conceput pentru a fura date. Guvernele și furnizorii de servicii de internet au exploatat, de asemenea, din punct de vedere istoric aceste puncte slabe pentru a implementa cenzură, a bloca domenii sau a afișa publicitate suplimentară.

• Ascultarea pasivă: Cineva observă interogările și deduce ce servicii sau site-uri web frecventezi.
• Omul de la mijloc: Comunicarea este interceptată, iar răspunsul este modificat pentru a se da drept server.
• Blocare și filtrare: Împiedică rezoluția anumitor domenii pentru a controla accesul la conținut.

DNS prin HTTPS: Criptați interogarea astfel încât să nu fie vizibilă pentru toată lumea.

DNS prin HTTPS, sau DoH, este o soluție care utilizează protocolul HTTPS pentru a transmite interogări și răspunsuri DNS în formă criptată . În loc să trimită o solicitare DNS clară, dispozitivul o încapsulează într-o conexiune securizată, de obicei utilizând portul 443, același port utilizat de site-urile web securizate. Acest lucru protejează atât interogarea, cât și răspunsul, împiedicând un observator extern să le citească cu ușurință.

Pentru ca acest lucru să funcționeze, serverul DNS interogat trebuie să accepte și DNS bazat pe domeniu (DoH ). Simpla activare a unei opțiuni în browser nu este suficientă: resolver-ul ales trebuie să respecte acest standard. Specificația a evoluat și este încă considerată o tehnologie în curs de dezvoltare, deși din 2018 companii precum Google și Fundația Mozilla o testează și o integrează. Pe lângă îmbunătățirea confidențialității, testele indică faptul că DoH poate reduce latența și poate face interogările mai rapide, deoarece nu este întotdeauna necesar să se rezolve întregul domeniu, ci doar porțiunea minimă necesară.

Avantajele DoH: mai multă confidențialitate, mai puțină manipulare și performanță mai bună

Cel mai evident avantaj este securitatea. Deoarece sunt transmise criptate, interogările DNS sunt mult mai greu de spionat sau modificat . Acest lucru complică atacurile de tip „man-in-the-middle”, reduce expunerea în rețelele Wi-Fi publice și împiedică un operator local să vadă clar ce domenii solicitați. Deoarece traficul DoH utilizează portul 443, acesta se contopește cu alte conexiuni HTTPS și este dificil de distins de o vizită web normală.

Există și motive legate de performanță. DoH poate reduce latența și accelera comunicațiile DNS datorită modificărilor aduse modului în care sunt rezolvate numele și unei utilizări mai bune a memoriei cache. De exemplu, metoda GET a unor API-uri este concepută pentru a fi memorată în cache mai eficient. În practică, acest lucru se poate traduce într-o navigare puțin mai rapidă, deși nu este o soluție magică și diferența nu este întotdeauna sesizabilă. În plus, deoarece este implementată în browser, utilizatorul nu trebuie să aștepte ca furnizorul său de servicii de internet să o activeze.

Dezavantaje și dezbateri: când criptarea complică viața

Nu toată lumea privește criptarea bazată pe domeniu (DoH) cu favor. Aceeași criptare care protejează utilizatorul îngreunează și monitorizarea rețelei . Multe programe de control parental se bazează pe inspectarea interogărilor DNS pentru a determina ce site-uri web încearcă să acceseze copiii; cu DoH, această sarcină devine mult mai complicată și poate chiar imposibilă. O situație similară există și pentru administratorii de rețea corporativă, care pierd vizibilitatea asupra domeniilor interogate și nu pot aplica anumite reguli la fel de ușor.

Furnizorii de internet pierd, de asemenea, capacitatea de a monitoriza accesul și de a bloca anumite domenii la cererea unei instituții. Acest lucru generează o dezbatere legitimă: unii văd acest lucru ca pe o victorie pentru confidențialitate, în timp ce alții îl consideră o problemă de control și gestionare . În cazul DoT, acesta este criticat și pentru utilizarea propriului port recognoscibil, care permite identificarea interogărilor DNS chiar și fără a se ști exact ce se solicită. DoH evită acest semnal clar prin deghizarea în traficul HTTPS, dar, în schimb, administratorii de rețea rămân cu mai puține instrumente pentru a-și gestiona comunicațiile.

Cum se activează DoH în Chrome, Edge și Firefox

Activarea Sistemului de nume de domeniu (DNS) într-un browser modern este de obicei simplă, mai ales dacă acesta este bazat pe Chromium sau Firefox. Opțiunea există, deși în unele cazuri este ascunsă în meniurile de setări avansate . Înainte de a schimba ceva, este important să înțelegeți că browserul își protejează doar propriile interogări: alte aplicații de pe dispozitiv pot continua să utilizeze un sistem DNS diferit dacă acesta nu este configurat și la nivel de sistem.

Google Chrome

În Chrome, metoda rapidă este să tastezi chrome://flags/#dns-over-https în bara de adrese. Asta te duce direct la secțiunea Steaguri sau funcții experimentale din Chrome.Vei vedea o opțiune numită Căutări DNS securizate selectată; dă clic pe meniul derulant Implicit și alege Activat. Apoi, va trebui să repornești browserul pentru ca modificarea să aibă efect.

Microsoft Edge

În Edge bazat pe Chromium, procesul este practic identic. Deschide browserul și tastați edge://flags/#dns-over-https în bara de căutareVei introduce Flag-urile Edge și va apărea aceeași opțiune de Căutări DNS securizate. Schimbă Implicit la Activat și repornește browserul când ți se solicită.

Mozilla Firefox

În Firefox, nu trebuie să accesați Steaguri. Faceți clic pe butonul de meniu din colțul din dreapta sus și selectați Opțiuni . În secțiunea General, derulați până jos și faceți clic pe Setări rețea. În fereastra care se deschide, bifați caseta de lângă Activare DNS prin HTTPS. Apoi, puteți alege dintre furnizori precum Cloudflare și NextDNS pentru a efectua criptarea prin HTTPS.

DNS prin TLS (DoT): cealaltă cale criptată

DNS prin TLS, sau DoT, este o altă modalitate de a proteja interogările DNS. În loc să utilizeze HTTPS, se folosește TLS printr-o conexiune TCP și un port standardizat, 853. TLS este aceeași bază de securitate ca și HTTPS, deci ideea este similară: crearea unui tunel criptat în care doar cei doi participanți pot decripta și procesa informațiile. Acest lucru face ca atacurile man-in-the-middle să fie mai dificile și împiedică o terță parte să citească sau să manipuleze interogarea.

DotT are avantajele sale, în special în comparație cu DNS-ul tradițional, care nu oferă măsuri de securitate. Criptarea împiedică infractorii cibernetici să intercepteze cererile și, de asemenea, îngreunează anumite măsuri de cenzură . Cu toate acestea, necesită compatibilitate atât din partea clientului, cât și a serverului. Mai mulți furnizori oferă servere compatibile, dar utilizarea sa pe un desktop sau laptop necesită de obicei instalarea de software suplimentar; pe Android-ul modern, cel puțin de la Android 9, este deja integrat. Există soluții pentru Windows și Linux, deși nu sunt întotdeauna atât de transparente pe cât s-ar dori.

Printre dezavantaje, mulți experți în protecția datelor critică DoT pentru utilizarea unui singur port recognoscibil. Deși este imposibil de știut ce site web este accesat, este posibil să se detecteze traficul DNS . Pentru unii administratori de rețea, acest lucru este util deoarece le permite să mențină o imagine de ansamblu asupra a ceea ce se întâmplă; pentru alții, este un semnal pe care preferă să-l ascundă. În plus, DoT nu este încă la fel de răspândit ca DNS-ul tradițional, iar adoptarea sa pe partea de server este limitată. Există îngrijorări că câteva companii vor concentra din ce în ce mai mult interogările DNS, creând potențial un fel de monopol internațional.

DoH vs. DoT: Două modalități de a proteja același lucru

Principala diferență dintre DoH și DoT constă în port și în modul în care este deghizat traficul. DoT folosește propriul port, 853, în timp ce DoH folosește 443 și se integrează în conexiunile HTTPS normale . Această diferență aparent minoră a stârnit dezbateri considerabile. Din perspectiva confidențialității, imposibilitatea de a distinge interogările DNS de alt trafic este un avantaj: dacă nu sunt recunoscute, nu pot fi manipulate la fel de ușor. Din perspectiva gestionării rețelei, însă, se pierde controlul și devine mai dificil să se implementeze politici de securitate sau de filtrare.

În esență, există două viziuni. IETF, consorțiul care dezvoltă numeroase standarde de internet, se află în spatele DoT , în timp ce Google și Fundația Mozilla au promovat puternic DoH. Acestea nu sunt tehnologii opuse, dar reprezintă moduri diferite de a înțelege confidențialitatea, vizibilitatea rețelei și rolul intermediarilor. Alegerea între una și cealaltă depinde de ce trebuie protejat și cine trebuie să gestioneze rețeaua.

DoH vs. VPN: Protejează problema, nu întreaga experiență

DoH și un VPN apar adesea în aceleași conversații despre confidențialitate, dar nu fac același lucru. DoH protejează interogarea de nume; un VPN protejează calea pe care o parcurg datele dvs. Cel mai simplu mod de a înțelege acest lucru este să vă gândiți la DoH care pune o întrebare sensibilă într-un plic sigilat, în timp ce un VPN face ca întreaga călătorie să treacă printr-un tunel privat înainte de a se întoarce pe drumul public. Ambele pot îmbunătăți confidențialitatea, dar numai una este concepută pentru a acoperi în mod complet traficul telefoanelor, tabletelor și computerelor.

Ce face DNS-ul înainte de încărcarea unui site?

Înainte ca browserul tău să poată încărca un site web, dispozitivul tău trebuie să îi cunoască locația. DNS funcționează ca o carte de telefon, traducând numele unui site web într-o adresă IP . Acest lucru se întâmplă constant: când deschizi o pagină, lansezi o aplicație, îți actualizezi e-mailul sau redi un videoclip. De cele mai multe ori se întâmplă în mod silențios și nu îl observi, ceea ce este excelent pentru confort, dar face și ușor de trecut cu vederea ca o problemă de confidențialitate. Interogările DNS tradiționale nu sunt criptate, așa că furnizorul tău de servicii de internet, angajatorul tău, școala ta, rețeaua Wi-Fi a unei cafenele sau rețeaua unui hotel ar putea vedea ce domenii încearcă să acceseze dispozitivul tău. Nu văd conținutul complet al unei pagini HTTPS, dar obțin o prezentare destul de revelatoare a activității tale.

O interogare DNS nu dezvăluie fiecare pagină pe care ați vizualizat-o sau tot ce tastați într-un formular, dar o listă de domenii poate expune obiceiuri, interese, instrumente de lucru, cercetări în domeniul sănătății sau servicii financiare . De aceea, DNS-ul criptat a devenit o funcție utilă de confidențialitate. Nu dezvăluie totul, dar dezvăluie mai mult decât își dau seama mulți oameni.

Ce ascunde DoH și ce dezvăluie?

DoH trimite interogări DNS prin HTTPS, același protocol criptat utilizat de site-urile web securizate. Cererea părăsește dispozitivul criptat și ajunge la un rezolver care acceptă standardul . Pe rețelele Wi-Fi publice, acest lucru poate îngreuna citirea accidentală a interogărilor de către operatorul de rețea. Dacă furnizorul dvs. de internet gestionează DNS, trecerea la un rezolver DoH îl poate împiedica să vadă aceste interogări în mod obișnuit. În plus, dacă o rețea manipulează rezultatele rezoluției numelor, DNS-ul criptat poate reduce anumite forme de manipulare.

Acum, DoH ascunde interogarea, nu întreaga conversație. Ar putea împiedica unii observatori să vadă clar căutarea domeniului, dar nu transformă întreaga conexiune la internet într-un tunel criptat . Odată ce dispozitivul cunoaște adresa IP, restul conexiunii își urmează calea normală, cu excepția cazului în care un alt instrument de confidențialitate schimbă acea rută. DoH nu ascunde adresa IP reală de site-urile web, aplicațiile sau serviciile la care vă conectați și nici nu vă face să păreți că vă aflați într-un alt oraș sau țară. Dacă vă conectați la un cont, serviciul știe că sunteți dvs. Dacă browserul are cookie-uri, sesiuni salvate, identificatori publicitari sau o amprentă recognoscibilă, DoH nu șterge aceste semnale.

De asemenea, nu protejează fiecare aplicație decât dacă este configurată la nivel de sistem și aplicația respectă această setare. Un browser poate utiliza un DNS securizat, în timp ce o altă aplicație de pe același dispozitiv utilizează o cale DNS diferită . Unele aplicații își gestionează propria rețea și nu se aliniază întotdeauna cu setările sistemului sau ale browserului. Prin urmare, DoH poate crea un fals sentiment de protecție completă: îmbunătățește confidențialitatea interogărilor DNS, dar nu protejează transferurile de fișiere, traficul de mesagerie, apelurile video, conexiunile la jocuri, sincronizarea în fundal sau aplicațiile de streaming așa cum ar face-o o VPN.

Ce protejează un VPN și ce nu poate ascunde

O rețea VPN protejează o altă parte a călătoriei tale. Creează un tunel criptat între dispozitivul tău și un server VPN, direcționând traficul de internet prin acel server . Furnizorul tău de servicii de internet sau rețeaua Wi-Fi locală vede o conexiune criptată la serverul VPN, nu o vizualizare clară a fiecărui site și serviciu la care te conectezi. În plus, VPN-ul modifică adresa IP publică pe care o văd site-urile web și aplicațiile: în loc de adresa IP a operatorului tău de acasă sau de telefonie mobilă, destinația vede adresa IP a serverului VPN. Acest lucru poate reduce urmărirea bazată pe locație, te poate ajuta să ocolești unele profiluri ISP și poate face utilizarea rețelei Wi-Fi publice mai sigură.

Un VPN complet poate proteja browserele, aplicațiile de streaming, clienții de e-mail, instrumentele de backup în cloud, aplicațiile de mesagerie, jocurile și serviciile de fundal. De asemenea, poate direcționa cererile DNS prin tunelul criptat atunci când este configurat corect , motiv pentru care este o idee bună să rulați un test de scurgeri DNS. Acestea fiind spuse, un VPN nu este magic. Dacă vă conectați la o rețea socială, un cont de e-mail, un serviciu de streaming sau un magazin online, acel serviciu știe în continuare cine sunteți. Poate ascunde adresa IP originală, dar nu vă anonimizează datele de conectare. Același lucru este valabil pentru orice trimiteți direct: numele dvs., adresa de e-mail, detaliile de plată, adresa de livrare, fotografiile sau mesajele.

Cookie-urile și amprenta digitală a browserului sunt în continuare importante. Aplicațiile pot crea probleme similare prin intermediul identificatorilor publicitari, permisiunilor, accesului la locație, scanării Bluetooth, numelor Wi-Fi din apropiere și instrumentelor de scanare. Programele malware reprezintă un alt obstacol dificil, deoarece pot captura date înainte ca acestea să ajungă chiar în tunelul VPN . Pe scurt, un VPN ascunde și criptează o mulțime de activități, dar nu deghizează fiecare amprentă digitală.

DoH și un VPN pot fi utilizate simultan

Da, pot fi combinate, dar configurația ideală depinde de modul în care dispozitivul, browserul și aplicația VPN gestionează DNS-ul. În multe cazuri, cea mai simplă soluție este să lăsați VPN-ul să gestioneze DNS-ul . O aplicație bună ar trebui să trimită interogări DNS prin tunelul criptat, astfel încât furnizorul dvs. de servicii de internet să nu le primească direct. În acest fel, beneficiați de confidențialitatea DNS ca parte a conexiunii VPN, fără a fi nevoie să ajustați separat setările browserului.

Problema apare atunci când browserul folosește propria configurație de autoritate de domeniu (DoH), în timp ce VPN-ul încearcă să gestioneze DNS-ul la nivel de sistem. Nu s-ar putea să apară probleme, dar apare confuzia : ați putea crede că toate interogările trec prin VPN, dar, în realitate, browserul trimite unele dintre ele către un alt rezolver. Aici este util un test de scurgere DNS. Dacă, după conectarea la VPN, vedeți serverele DNS ale furnizorului dvs. de servicii de internet, ceva nu funcționează conform așteptărilor; dacă vedeți servere asociate cu VPN-ul, este mai probabil ca configurația să funcționeze corect.

Când este suficientă DoH și când este recomandabilă o VPN?

DoH poate fi suficient atunci când principala ta preocupare este confidențialitatea de bază a interogărilor DNS din browserul tău. Într-o rețea de domiciliu de încredere, activarea DNS securizat reduce expunerea la text simplu fără a fi nevoie să-ți schimbi locația sau să-ți securizezi toate aplicațiile . De asemenea, este utilă în rețelele în care filtrarea sau manipularea DNS reprezintă o preocupare, deoarece trecerea prin HTTPS face mai dificilă inspectarea sau modificarea ușoară. Aceasta nu înseamnă că ocolește toate restricțiile sau că este rezistent la cenzură, dar reprezintă o îmbunătățire semnificativă față de DNS-ul necriptat. În plus, este ușor: nu trebuie să alegi un server VPN sau să modifici semnificativ rutarea și, de obicei, nu vei observa un impact semnificativ asupra vitezei.

Un VPN este cel mai potrivit atunci când doriți protecție la nivelul întregului dispozitiv, nu doar căutări DNS. Aceasta include aeroporturi, hoteluri, școli, spații de coworking, cafenele și cazări închiriate . În rețelele partajate, nu știți cine controlează routerul, cine mai este conectat sau dacă cineva încearcă să intercepteze traficul. Un VPN vă ajută, de asemenea, atunci când nu doriți ca furnizorul dvs. de servicii de internet să creeze un profil al tiparelor dvs. de navigare: chiar dacă HTTPS protejează conținutul paginii, metadatele rețelei pot dezvălui în continuare tipare utile. Călătoriile sunt un alt exemplu clar: un VPN vă poate face conexiunea mai consistentă, vă poate proteja în rețele necunoscute și poate face ca site-urile web să vadă locația serverului VPN în loc de conexiunea dvs. locală temporară.

Detalii tehnice ale API-urilor Google Public DNS DoH

Google Public DNS oferă două API-uri DoH distincte. Una este concepută pentru RFC 8484 și acceptă cereri GET și POST la https://dns.google/dns-query; cealaltă este o API JSON care acceptă doar cereri GET la https://dns.google/resolve . Există, de asemenea, o interfață web la https://dns.google/ care afișează rezultatele JSON în browser, dar nu implementează o API completă. Această interfață nu trebuie confundată cu adresele URL API sau cu https://dns.google/query. Serviciul nu acceptă adrese URL HTTP negarantate, iar DoH este, de asemenea, acceptat de serviciul public DNS64 de la Google, deși în acest caz, este acceptat doar IPv6. Documentația de transport securizat de la Google include exemple de curl și detalii despre TLS, DoT și DoH.

Metode HTTP disponibile

Metoda GET poate reduce latența deoarece memorează în cache mai eficient. Cererile GET din RFC 8484 trebuie să includă un parametru `?dns=` cu un mesaj DNS codificat în Base64Url și este singura metodă acceptată de API-ul JSON. Metoda POST este, de asemenea, disponibilă numai în RFC 8484 și utilizează un mesaj DNS binar cu `application/dns-message` atât în ​​corpul cererii, cât și în cel al răspunsului. Metoda HEAD nu este acceptată în prezent și returnează o eroare 400 Bad Request. Alte metode returnează erori 501 Not Implemented.

Coduri de stare și erori

API-ul returnează mai multe coduri HTTP care merită cunoscute. Un 200 OK indică faptul că analiza HTTP și comunicarea cu resolver-ul DNS au avut succes ; corpul răspunsului poate fi un răspuns DNS binar sau JSON, în funcție de endpoint, antetul Accept și parametrii GET. Notă: o eroare HTTP poate fi, de asemenea, o eroare DNS, așa că este recomandabil să verificați codul de răspuns DNS, de exemplu, câmpul „Status” al JSON, pentru erori precum SERVFAIL, FORMERR, REFUSED sau NOTIMP.

• 301 Mutat definitiv: Clientul trebuie să reîncerce solicitarea la adresa URL specificată în Locație. Dacă solicitarea inițială a fost POST, ar trebui să reîncerce cu GET doar dacă noua adresă URL specifică un parametru DNS; în caz contrar, trebuie să se repete cu POST. Pot apărea și coduri de stare 302, 307 și 308, iar clienții DoH trebuie să le gestioneze pe toate patru. Codurile de stare permanente 301 și 308 pot fi memorate în cache pe termen nelimitat. Solicitările POST care primesc un cod de stare 307 sau 308 trebuie întotdeauna reîncercate cu POST.
• 400 Cerere rea: Probleme la analizarea parametrilor GET sau un mesaj de solicitare DNS nevalid. Majoritatea mesajelor DNS nevalide primesc un 200 OK cu FORMERR, dar apar erori HTTP pentru mesaje ilizibile fără o secțiune Întrebări, cu un cod QR care indică un răspuns sau cu combinații de coduri fără sens.
• 413 Sarcină utilă prea mare: Corpul unei cereri POST RFC 8484 depășește dimensiunea maximă a mesajului de 512 octeți.
• URI 414 prea lung: Antetul interogării GET a fost prea mare sau parametrul dns a depășit 512 octeți.
• 415 Tip de suport neacceptat: Corpul mesajului POST nu avea antetul de tip de conținut application/dns-message.
• 429 Prea multe cereri: Prea multe solicitări au fost trimise într-o anumită perioadă. Clientul trebuie să aștepte până la ora specificată în antetul Retry-After.
• 500 Eroare internă server: Erori interne în serviciul DoH.
• 501 nu a fost implementat: Doar GET și POST sunt implementate; restul returnează această eroare.
• 502 Bad Gateway: Serviciul DoH nu a putut comunica cu rezolverele DNS publice Google. Încercarea unei alte adrese ar putea funcționa, dar un plan de rezervă mai eficient este să încercați un alt serviciu DoH sau să treceți la DNS tradițional folosind UDP sau TCP la 8.8.8.8.

Cele mai bune practici pentru confidențialitate și performanță

Dezvoltatorii de aplicații DoH ar trebui să limiteze anteturile HTTP. Anteturi precum Cookie, User-Agent și Accept-Language pot dezvălui informații despre implementarea clientului și pot contribui la dezanonimatizare . Se recomandă trimiterea doar a anteturilor necesare pentru DoH: Host, Content-Type (pentru cererile POST) și, dacă este necesar, Accept. Antetul User-Agent ar trebui inclus în versiunile de dezvoltare sau de testare. De asemenea, este recomandabil să se utilizeze opțiuni de padding EDNS pentru a scurta interogările la lungimi comune și a îngreuna analiza traficului. Padding-ul HTTP/2 este posibil, dar spre deosebire de padding-ul EDNS, acesta nu generează padding în răspunsurile serverului DoH.

Metoda POST din RFC 8484 ar trebui utilizată numai în aplicații sau moduri de browser sensibile la confidențialitate. Utilizarea POST reduce capacitatea memoriei cache și poate crește latența, deci, în general, nu este recomandată . Cu toate acestea, reducerea dimensiunii memoriei cache ar putea fi recomandabilă pentru aplicațiile care doresc să prevină atacurile de sincronizare a aplicațiilor web care vizează descoperirea domeniilor vizitate recent de utilizator. Abordarea HTTPS are, de asemenea, avantaje practice: API-urile HTTPS sunt disponibile și acceptate pe scară largă, simplificând implementarea; un serviciu HTTPS oferă aplicațiilor web acces la toate tipurile de înregistrări DNS, evitând limitările API-urilor browserului sau ale sistemului de operare care sunt de obicei limitate la căutări gazdă-adresă; iar clienții care implementează HTTPS prin UDP cu QUIC pot evita probleme precum blocarea capului de linie care apar cu TCP. Dacă întâmpinați o eroare sau doriți să solicitați o funcție nouă, ar trebui să raportați problema legată de DoH prin canalele obișnuite.

Întrebări frecvente despre DoH și VPN

Una dintre cele mai frecvente întrebări este dacă are sens să folosești DoH atunci când deja folosești un VPN. Este posibil, dar cea mai practică abordare este de obicei să lași VPN-ul să gestioneze DNS-ul și să verifice cu un test de scurgere dacă interogările trec prin canalele corecte. Dacă browserul își trimite propriile interogări într-o direcție, iar VPN-ul în alta, s-ar putea să ai o surpriză neplăcută.

O altă întrebare frecventă este dacă DoH împiedică furnizorul dvs. de internet să vadă ce site-uri web vizitați. DoH ascunde interogările DNS de mulți observatori, dar nu elimină toate metadatele și nu ascunde adresa dvs. IP : furnizorul dvs. de internet poate vedea în continuare la ce adrese IP vă conectați și alte informații despre rețea. Pentru o protecție mai largă, aveți nevoie de un VPN sau de o combinație de mai multe straturi de confidențialitate.

De asemenea, merită să ne întrebăm dacă DomainHost (DoH) este suficient pentru rețelele Wi-Fi publice. Poate ajuta la împiedicarea operatorului de rețea să citească cu ușurință interogările DNS, dar nu protejează întreaga conexiune sau traficul tuturor aplicațiilor . În aeroporturi, hoteluri și cafenele, utilizarea unui VPN este de obicei mai complexă, mai ales dacă nu știm cine controlează routerul sau dacă alte persoane sunt conectate.

Sistemul de nume de domeniu (DoH) și VPN-urile nu sunt rivali direcți, ci mai degrabă instrumente cu capacități diferite. DoH criptează căutarea domeniilor și reduce expunerea acelei părți a procesului; un VPN criptează calea dintre dispozitivul dvs. și un server și modifică adresa IP văzută de destinații . Niciunul dintre acestea nu vă face invizibil: conturile, cookie-urile, amprentele browserului, permisiunile aplicațiilor, programele malware și orice date pe care le partajați direct vă pot identifica în continuare. Dar asta nu le face inutile. Pur și simplu înseamnă că fiecare are rolul său. DoH protejează căutarea adreselor; un VPN protejează o parte mult mai mare din calea pe care o parcurg datele dvs.