DNS cez HTTPS: čo to je a ako chráni vaše dotazy

Alfa sprievodca » výpočtovej » DNS cez HTTPS: čo to je a ako chráni vaše dotazy

Keď zadáte webovú adresu, v zákulisí pracuje komponent, ktorý zabezpečuje, že sa dostanete na správnu stránku: systém názvov domén (DNS). DNS prekladá ľahko zapamätateľné mená na IP adresy , ktorým počítače rozumejú. Je to pohodlné, áno, ale roky fungovalo s významnou zraniteľnosťou: tieto dotazy prechádzali nešifrované. Preto sa DNS cez HTTPS, tiež známy ako DoH, stal takým prominentným – ďalšia vrstva ochrany, ktorá sťažuje vášmu poskytovateľovi internetových služieb sledovanie, ktoré domény navštevujete.

Hneď na začiatku je dôležité objasniť jednu vec: DoH zlepšuje súkromie DNS dotazov, ale nie je to VPN, ani nepremieňa celé vaše pripojenie na tajný tunel . V tomto článku preskúmame, čo to presne je, prečo sa stalo populárnym, ako ho aktivovať v prehliadačoch Chrome, Edge a Firefox, jeho výhody a nevýhody, ako sa líši od DNS cez TLS a VPN a rozsah jeho technických a praktických obmedzení.

Čo je DNS a prečo tradičný systém zlyháva?

DNS servery sú jednou z tých súčastí, na ktoré sa takmer nikto nepozrie, no napriek tomu sú základom veľkej časti prehliadania internetu. Ich úlohou je prepojiť názov domény s IP adresou príslušného servera . Keď navštívite webovú stránku, váš počítač nerozumie písmenám: potrebuje IP adresu, aby vedel, ku ktorému počítaču sa má pripojiť. Mnohé smerovače sú dodávané s DNS servermi už nakonfigurovanými poskytovateľom internetových služieb, čo tento proces zjednodušuje, hoci zároveň zanecháva viditeľnú stopu pre toho, kto túto infraštruktúru ovláda.

Základným problémom je, že tradičné DNS dotazy sa vykonávajú v obyčajnom texte a bez ochrany . To otvára dvere odpočúvaniu, útokom typu „man-in-the-middle“ a manipulácii s odpoveďou. Poskytovateľ internetových služieb sa môže dozvedieť, ktoré domény a kedy dotaz zadávate; útočník v zdieľanej sieti sa môže pokúsiť zachytiť požiadavku a vrátiť podvodnú odpoveď. Táto technika je známa ako únos DNS a môže vás v konečnom dôsledku priviesť na falošnú stránku, k nechcenej reklame alebo k stránke určenej na krádež údajov. Vlády a poskytovatelia internetových služieb tiež v minulosti zneužívali tieto slabiny na zavedenie cenzúry, blokovanie domén alebo zobrazovanie ďalšej reklamy.

• Pasívne počúvanie: Niekto sleduje dopyty a odvodzuje, ktoré služby alebo webové stránky často navštevujete.
• Človek uprostred: Komunikácia je zachytená a odpoveď je upravená tak, aby sa vydávala za server.
• Blokovanie a filtrovanie: Zabraňuje rozpoznávaniu určitých domén s cieľom kontrolovať prístup k obsahu.

DNS cez HTTPS: Zašifrujte dopyt, aby nebol viditeľný pre každého.

DNS cez HTTPS alebo DoH je riešenie, ktoré využíva protokol HTTPS na prenos DNS dotazov a odpovedí v šifrovanej forme . Namiesto odoslania jasnej DNS požiadavky ju zariadenie zapuzdrí v rámci zabezpečeného pripojenia, zvyčajne pomocou portu 443, rovnakého portu, aký používajú zabezpečené webové stránky. Toto chráni dotaz aj odpoveď a zabraňuje externému pozorovateľovi v ich ľahkom prečítaní.

Aby to fungovalo, DNS server, na ktorý sa dotazuje, musí podporovať aj DNS založený na doméne (DoH ). Nestačí len povoliť možnosť v prehliadači: zvolený resolver musí tento štandard dodržiavať. Špecifikácia sa vyvíja a stále sa považuje za rozvíjajúcu sa technológiu, hoci od roku 2018 ju spoločnosti ako Google a Mozilla Foundation testujú a integrujú. Okrem zlepšeného súkromia testy naznačujú, že DoH dokáže znížiť latenciu a zrýchliť dotazy, pretože nie vždy je potrebné resolvovať celú doménu, ale iba minimálnu požadovanú časť.

Výhody DoH: viac súkromia, menej manipulácie a lepší výkon

Najzrejmejšou výhodou je bezpečnosť. Keďže DNS dotazy prenášajú šifrované, je oveľa ťažšie ich špehovať alebo upravovať . To komplikuje útoky typu „man-in-the-middle“, znižuje expozíciu vo verejných sieťach Wi-Fi a bráni lokálnemu operátorovi jasne vidieť, ktoré domény požadujete. Keďže prevádzka DoH používa port 443, splýva s inými pripojeniami HTTPS a je ťažké ju odlíšiť od bežnej webovej návštevy.

Existujú aj dôvody týkajúce sa výkonu. DoH môže znížiť latenciu a zrýchliť komunikáciu DNS vďaka zmenám v spôsobe rozpoznávania mien a lepšiemu využívaniu vyrovnávacej pamäte. Napríklad metóda GET niektorých API je navrhnutá tak, aby sa ukladala do vyrovnávacej pamäte efektívnejšie. V praxi sa to môže prejaviť v mierne rýchlejšieho prehliadania, hoci to nie je zázračné riešenie a zlepšenie nie je vždy viditeľné. Navyše, keďže je implementované v prehliadači, používateľ nemusí čakať, kým ho aktivuje jeho poskytovateľ internetových služieb.

Nevýhody a debaty: keď šifrovanie komplikuje život

Nie každý vníma šifrovanie založené na doméne (DoH) priaznivo. To isté šifrovanie, ktoré chráni používateľa, zároveň sťažuje monitorovanie siete . Mnohé programy rodičovskej kontroly sa spoliehajú na kontrolu DNS dotazov, aby zistili, ku ktorým webovým stránkam sa deti snažia dostať; s DoH sa táto úloha stáva oveľa komplikovanejšou a môže byť dokonca nemožná. Podobná situácia existuje aj pre správcov firemných sietí, ktorí strácajú prehľad o dotazovaných doménach a nemôžu tak ľahko presadzovať určité pravidlá.

Poskytovatelia internetu tiež strácajú možnosť monitorovať prístup a blokovať konkrétne domény na príkaz inštitúcie. To vyvoláva legitímnu diskusiu: niektorí to vnímajú ako víťazstvo súkromia, zatiaľ čo iní to považujú za problém kontroly a riadenia . V prípade DoT je tiež kritizovaný za používanie vlastného rozpoznateľného portu, ktorý umožňuje identifikáciu DNS dotazov aj bez toho, aby presne vedel, čo sa pýta. DoH sa tomuto jasnému signálu vyhýba tým, že sa maskuje v rámci HTTPS prevádzky, ale na oplátku majú správcovia siete menej nástrojov na správu svojej komunikácie.

Ako povoliť DoH v prehliadačoch Chrome, Edge a Firefox

Povolenie systému názvov domén (DNS) v modernom prehliadači je zvyčajne jednoduché, najmä ak je založený na prehliadačoch Chromium alebo Firefox. Táto možnosť existuje, hoci v niektorých prípadoch je skrytá v ponukách rozšírených nastavení . Pred zmenou čohokoľvek je dôležité pochopiť, že prehliadač chráni iba svoje vlastné dopyty: ostatné aplikácie v zariadení môžu naďalej používať iný systém DNS, ak nie je nakonfigurovaný aj na úrovni systému.

Google Chrome

V prehliadači Chrome je rýchly spôsob písanie chrome://flags/#dns-over-https v paneli s adresou. To vás presmeruje priamo k príznakom alebo experimentálnym funkciám prehliadača Chrome.Zobrazí sa vám možnosť s názvom Zabezpečené vyhľadávania DNS; kliknite na rozbaľovaciu ponuku s názvom Predvolené a vyberte možnosť Povolené. Potom budete musieť reštartovať prehliadač, aby sa zmena prejavila.

Microsoft hrán

V Edge založenom na prehliadači Chromium je proces prakticky identický. Otvorte prehliadač a napíšte edge://flags/#dns-over-https vo vyhľadávacom paneliZadáte príznaky v Edge a zobrazí sa rovnaká možnosť Bezpečné vyhľadávanie DNS. Po zobrazení výzvy zmeňte predvolenú možnosť na Povolené a reštartujte prehliadač.

Mozilla Firefox

Vo Firefoxe nemusíte ísť do sekcie Vlajky. Kliknite na tlačidlo ponuky v pravom hornom rohu a vyberte položku Možnosti . V sekcii Všeobecné prejdite nadol a kliknite na položku Nastavenia siete. V okne, ktoré sa otvorí, začiarknite políčko vedľa položky Povoliť DNS cez HTTPS. Potom si môžete vybrať poskytovateľov, ako sú Cloudflare a NextDNS, na vykonanie šifrovania cez HTTPS.

DNS cez TLS (DoT): druhá šifrovaná cesta

DNS cez TLS alebo DoT je ďalší spôsob ochrany DNS dotazov. Namiesto použitia HTTPS sa používa TLS cez TCP pripojenie a štandardizovaný port 853. TLS je rovnaký bezpečnostný základ ako HTTPS, takže myšlienka je podobná: vytvoriť šifrovaný tunel, v ktorom môžu informácie dešifrovať a spracovať iba dvaja účastníci. To sťažuje útoky typu „man-in-the-middle“ a bráni tretej strane v čítaní alebo manipulácii s dotazom.

DotT má svoje výhody, najmä v porovnaní s tradičným DNS, ktoré neponúka žiadne bezpečnostné opatrenia. Šifrovanie bráni kyberzločincom v zachytávaní požiadaviek a tiež bráni určitým cenzúrnym opatreniam . Vyžaduje si však kompatibilitu zo strany klienta aj servera. Niekoľko poskytovateľov ponúka kompatibilné servery, ale jeho používanie na stolnom počítači alebo notebooku si zvyčajne vyžaduje inštaláciu dodatočného softvéru; v modernom Androide, aspoň od Androidu 9, je už integrovaný. Existujú riešenia pre Windows a Linux, hoci nie sú vždy také transparentné, ako by sa mohlo zdať.

Medzi nevýhody patrí mnoho expertov na ochranu údajov, ktorí kritizujú DoT za používanie jediného rozpoznateľného portu. Hoci nie je možné vedieť, ku ktorej webovej stránke sa pristupuje, je možné detegovať prevádzku DNS . Pre niektorých správcov siete je to užitočné, pretože im to umožňuje udržiavať si prehľad o dianí; pre iných je to signál, ktorý by radšej skryli. Okrem toho DoT ešte nie je tak rozšírený ako tradičné DNS a jeho prijatie na strane servera je obmedzené. Existujú obavy, že niekoľko spoločností bude čoraz viac sústreďovať DNS dotazy, čo by mohlo vytvoriť akýsi medzinárodný monopol.

DoH vs. DoT: Dva spôsoby, ako chrániť tú istú vec

Hlavný rozdiel medzi DoH a DoT spočíva v porte a v spôsobe maskovania prevádzky. DoT používa vlastný port 853, zatiaľ čo DoH používa 443 a splýva s bežnými HTTPS pripojeniami . Tento zdanlivo malý rozdiel vyvolal značnú diskusiu. Z hľadiska súkromia je nerozlíšiteľnosť DNS dopytov od inej prevádzky výhodou: ak nie sú rozpoznané, nedajú sa tak ľahko manipulovať. Z hľadiska správy siete sa však stráca kontrola a implementácia bezpečnostných alebo filtrovacích politík je ťažšia.

V jadre existujú dve vízie. IETF, konzorcium, ktoré vyvíja mnoho internetových štandardov, stojí za DoT , zatiaľ čo Google a Mozilla Foundation silne podporujú DoH. Nejde o protichodné technológie, ale predstavujú odlišné spôsoby chápania súkromia, viditeľnosti siete a úlohy sprostredkovateľov. Voľba medzi jednou a druhou závisí od toho, čo je potrebné chrániť a kto má sieť spravovať.

DoH verzus VPN: Chráni otázku, nie celú cestu

DoH a VPN sa často spomínajú v rovnakých rozhovoroch o súkromí, ale nerobia to isté. DoH chráni dopyt na meno; VPN chráni cestu, ktorou sa vaše dáta uberajú . Najjednoduchší spôsob, ako to pochopiť, je predstaviť si DoH, ktorý vkladá citlivú otázku do zapečatenej obálky, zatiaľ čo VPN nechá celú cestu prechádzať súkromným tunelom predtým, ako sa vráti na verejnú cestu. Obe môžu zlepšiť súkromie, ale iba jedna je navrhnutá tak, aby komplexne pokryla prevádzku telefónov, tabletov a počítačov.

Čo robí DNS pred načítaním stránky?

Predtým, ako váš prehliadač načíta webovú stránku, musí vaše zariadenie poznať jej polohu. DNS funguje ako telefónny zoznam, ktorý prekladá názov webovej stránky na IP adresu . Toto sa deje neustále: keď otvoríte stránku, spustíte aplikáciu, aktualizujete e-mail alebo prehráte video. Väčšinou sa to deje potichu a vy si to nevšimnete, čo je skvelé pre pohodlie, ale zároveň to sťažuje prehliadnutie ako problém so súkromím. Tradičné dotazy DNS nie sú šifrované, takže váš poskytovateľ internetových služieb, váš zamestnávateľ, vaša škola, Wi-Fi v kaviarni alebo hotelová sieť môžu vidieť, na ktoré domény sa vaše zariadenie snaží dostať. Nevidia celý obsah stránky HTTPS, ale získajú dosť odhaľujúci prehľad o vašej aktivite.

DNS dopyt neodhalí každú stránku, ktorú ste si prezerali, ani všetko, čo zadáte do formulára, ale zoznam domén môže odhaliť zvyky, záujmy, pracovné nástroje, výskum v oblasti zdravia alebo finančné služby . Preto sa šifrované DNS stalo užitočnou funkciou ochrany súkromia. Neodhalí všetko, ale odhalí viac, ako si mnohí ľudia uvedomujú.

Čo DoH skrýva a čo odhaľuje?

DoH odosiela DNS dotazy cez HTTPS, rovnaký šifrovaný protokol, aký používajú zabezpečené webové stránky. Požiadavka ponecháva vaše zariadenie zašifrované a dorazí k resolveru, ktorý podporuje štandard . Na verejných Wi-Fi sieťach to môže prevádzkovateľovi siete sťažiť neúmyselné prečítanie vašich dotazov. Ak váš poskytovateľ internetu spravuje DNS, prechod na resolver DoH mu môže zabrániť v zobrazení týchto dotazov obvyklým spôsobom. Okrem toho, ak sieť manipuluje s výsledkami prekladu mien, šifrovaný DNS môže obmedziť niektoré formy manipulácie.

DoH teraz skryje dopyt, nie celú konverzáciu. Niektorým pozorovateľom to môže zabrániť v jasnom zobrazení vyhľadávania domény, ale nepremení celé vaše internetové pripojenie na šifrovaný tunel . Keď zariadenie rozpozná IP adresu, zvyšok pripojenia sleduje svoju normálnu cestu, pokiaľ iný nástroj na ochranu súkromia túto trasu nezmení. DoH neskrýva vašu skutočnú IP adresu pred webovými stránkami, aplikáciami alebo službami, ku ktorým sa pripájate, ani vás nevyvoláva dojem, že sa nachádzate v inom meste alebo krajine. Ak sa prihlásite do účtu, služba vie, že ste to vy. Ak prehliadač obsahuje súbory cookie, uložené relácie, reklamné identifikátory alebo rozpoznateľný odtlačok prsta, DoH tieto signály nevymaže.

Taktiež nechráni každú aplikáciu, pokiaľ nie je nakonfigurovaná na úrovni systému a aplikácia toto nastavenie nerešpektuje. Jeden prehliadač môže používať zabezpečený DNS, zatiaľ čo iná aplikácia na tom istom zariadení používa inú cestu DNS . Niektoré aplikácie spravujú svoju vlastnú sieť a nie vždy sa zhodujú s nastaveniami systému alebo prehliadača. DoH preto môže vytvárať falošný pocit úplnej ochrany: zlepšuje súkromie dotazov DNS, ale nechráni prenosy súborov, prevádzku správ, videohovory, herné pripojenia, synchronizáciu na pozadí ani streamovacie aplikácie tak, ako by to robila VPN.

Čo VPN chráni a čo nedokáže skryť?

VPN chráni inú časť vašej cesty. Vytvára šifrovaný tunel medzi vaším zariadením a VPN serverom a smeruje vašu internetovú prevádzku cez tento server . Váš poskytovateľ internetových služieb alebo lokálna sieť Wi-Fi vidí šifrované pripojenie k VPN serveru, nie jasný prehľad o každej stránke a službe, ku ktorej sa pripájate. VPN navyše mení verejnú IP adresu, ktorú vidia webové stránky a aplikácie: namiesto IP adresy vášho domova alebo mobilného operátora vidí cieľová stanica IP adresu VPN servera. To môže znížiť sledovanie na základe polohy, pomôcť vám obísť niektoré profily poskytovateľov internetových služieb a zvýšiť bezpečnosť používania verejných Wi-Fi sietí.

Komplexná VPN dokáže chrániť prehliadače, streamovacie aplikácie, e-mailových klientov, nástroje na zálohovanie do cloudu, aplikácie na odosielanie správ, hry a služby na pozadí. Pri správnej konfigurácii dokáže smerovať aj požiadavky DNS cez šifrovaný tunel , a preto je dobré spustiť test úniku DNS. VPN však nie je zázrak. Ak sa prihlásite do sociálnej siete, e-mailového účtu, streamovacej služby alebo online obchodu, táto služba stále vie, kto ste. Môže skryť vašu pôvodnú IP adresu, ale neanonymizuje vaše prihlásenie. To isté platí pre všetko, čo odošlete priamo: vaše meno, e-mailovú adresu, platobné údaje, dodaciu adresu, fotografie alebo správy.

Súbory cookie a odtlačky prstov prehliadača sú stále dôležité. Aplikácie môžu vytvárať podobné problémy prostredníctvom reklamných identifikátorov, povolení, prístupu k polohe, skenovania cez Bluetooth, názvov blízkych sietí Wi-Fi a skenovacích nástrojov. Škodlivý softvér je ďalšou veľkou prekážkou, pretože dokáže zachytiť údaje ešte predtým, ako sa dostanú do tunela VPN . Stručne povedané, VPN skrýva a šifruje veľa aktivít, ale nezakryje každý digitálny odtlačok prsta.

DoH a VPN je možné používať súčasne

Áno, dajú sa kombinovať, ale ideálne nastavenie závisí od toho, ako zariadenie, prehliadač a aplikácia VPN spracovávajú DNS. V mnohých prípadoch je najjednoduchším riešením nechať DNS spracovávať na VPN . Dobrá aplikácia by mala odosielať DNS dotazy cez šifrovaný tunel, aby ich váš poskytovateľ internetových služieb neprijímal priamo. Týmto spôsobom získate súkromie DNS ako súčasť pripojenia VPN bez toho, aby ste museli samostatne upravovať nastavenia prehliadača.

Problém nastáva, keď prehliadač používa vlastnú konfiguráciu autority domény (DoH), zatiaľ čo VPN sa pokúša spravovať DNS na systémovej úrovni. Nič sa síce nemusí pokaziť, ale môže dôjsť k zmätku : možno si myslíte, že všetky dopyty prechádzajú cez VPN, ale v skutočnosti prehliadač niektoré odosiela sám do iného resolvera. Tu sa hodí test úniku DNS. Ak po pripojení k VPN vidíte DNS servery vášho poskytovateľa internetových služieb, niečo nefunguje podľa očakávaní; ak vidíte servery priradené k VPN, konfigurácia pravdepodobne funguje správne.

Kedy je DoH postačujúce a kedy je vhodné použiť VPN?

DoH môže byť postačujúce, ak je vaším hlavným záujmom základné súkromie DNS dotazov vo vašom prehliadači. V dôveryhodnej domácej sieti povolenie zabezpečeného DNS znižuje vystavenie otvorenému textu bez toho, aby ste museli meniť svoju polohu alebo zabezpečovať všetky svoje aplikácie . Je to tiež užitočné v sieťach, kde je filtrovanie alebo manipulácia s DNS problémom, pretože cestovanie cez HTTPS sťažuje jednoduchú kontrolu alebo úpravu. To neznamená, že obchádza všetky obmedzenia alebo je odolné voči cenzúre, ale je to významné zlepšenie oproti nešifrovanému DNS. Okrem toho je to nenáročné: nemusíte si vyberať VPN server ani výrazne meniť smerovanie a zvyčajne si nevšimnete významný vplyv na rýchlosť.

VPN má najväčší zmysel, keď chcete ochranu celého zariadenia, nielen vyhľadávanie DNS. Patria sem letiská, hotely, školy, coworkingové priestory, kaviarne a prenajímané ubytovanie . V zdieľaných sieťach neviete, kto ovláda smerovač, kto ďalší je pripojený alebo či sa niekto pokúša zachytiť prevádzku. VPN tiež pomáha, keď nechcete, aby váš poskytovateľ internetových služieb vytvoril profil vašich vzorcov prehliadania: aj keď HTTPS chráni obsah stránky, sieťové metadáta môžu stále odhaliť užitočné vzorce. Ďalším jasným príkladom je cestovanie: VPN môže zvýšiť konzistentnosť vášho pripojenia, chrániť vás v neznámych sieťach a zabezpečiť, aby webové stránky videli polohu servera VPN namiesto vášho dočasného lokálneho pripojenia.

Technické podrobnosti rozhraní Google Public DNS DoH API

Google Public DNS ponúka dve odlišné DoH API. Jedno je navrhnuté pre RFC 8484 a akceptuje požiadavky GET a POST na https://dns.google/dns-query; druhé je JSON API, ktoré podporuje iba požiadavky GET na https://dns.google/resolve . Na https://dns.google/ je tiež webové rozhranie, ktoré zobrazuje výsledky JSON v prehliadači, ale neimplementuje plné API. Toto rozhranie by sa nemalo zamieňať s URL adresami API ani s https://dns.google/query. Služba nepodporuje nezabezpečené HTTP URL adresy a DoH je tiež podporovaná verejnou službou DNS64 od spoločnosti Google, hoci v takom prípade je podporovaný iba IPv6. Dokumentácia zabezpečeného prenosu od spoločnosti Google obsahuje príklady curl a podrobnosti o TLS, DoT a DoH.

Dostupné metódy HTTP

Metóda GET dokáže znížiť latenciu, pretože efektívnejšie ukladá do vyrovnávacej pamäte. Požiadavky GET podľa RFC 8484 musia obsahovať parameter `?dns=` so správou DNS kódovanou v Base64Url a je to jediná metóda podporovaná rozhraním JSON API. Metóda POST je tiež dostupná iba v RFC 8484 a používa binárnu správu DNS s `application/dns-message` v tele požiadavky aj odpovede. Metóda HEAD momentálne nie je podporovaná a vracia chybu 400 Bad Request. Ostatné metódy vracajú chybu 501 Not Implemented.

Stavové kódy a chyby

Rozhranie API vracia niekoľko kódov HTTP, ktoré je dobré poznať. Hodnota 200 OK znamená, že analýza HTTP a komunikácia s resolverom DNS boli úspešné ; telo odpovede môže byť binárna odpoveď DNS alebo JSON v závislosti od koncového bodu, hlavičky Accept a parametrov GET. Poznámka: Chyba HTTP môže byť aj zlyhaním DNS, preto je vhodné skontrolovať kód odpovede DNS, napríklad pole „Status“ v súbore JSON, či neobsahuje chyby ako SERVFAIL, FORMERR, REFUSED alebo NOTIMP.

• 301 Trvalo presťahované: Klient musí znova skúsiť odoslať požiadavku na URL adrese uvedenej v poli Umiestnenie. Ak pôvodná požiadavka bola POST, mala by sa znova odoslať pomocou GET iba v prípade, že nová URL adresa určuje parameter DNS; v opačnom prípade sa musí zopakovať pomocou POST. Môžu sa zobraziť aj stavové kódy 302, 307 a 308 a klienti DoH musia spracovať všetky štyri. Trvalé stavové kódy 301 a 308 je možné ukladať do vyrovnávacej pamäte na neurčito. Požiadavky POST, ktoré dostanú stavový kód 307 alebo 308, sa musia vždy znova odoslať pomocou POST.
• Zlá požiadavka 400: Problémy s analýzou parametrov GET alebo neplatná správa s požiadavkou DNS. Väčšina neplatných správ DNS dostane chybu 200 OK s FORMERR, ale chyby HTTP sa vyskytujú pri nečitateľných správach bez sekcie Otázka, s QR kódom označujúcim odpoveď alebo s nezmyselnými kombináciami kódov.
• 413 Užitočné zaťaženie je príliš veľké: Telo požiadavky POST RFC 8484 prekračuje maximálnu veľkosť správy 512 bajtov.
• 414 URI je príliš dlhé: Hlavička dotazu GET bola príliš veľká alebo parameter dns prekročil 512 bajtov.
• 415 Nepodporovaný typ média: Telo POSTu neobsahovalo hlavičku typu obsahu application/dns-message.
• 429 Príliš veľa žiadostí: V danom období bolo odoslaných príliš veľa požiadaviek. Klient musí počkať do času uvedeného v hlavičke Retry-After.
• Interná chyba servera 500: Vnútorné chyby v službe DoH.
• 501 nie je implementovaný: Implementované sú iba GET a POST; ostatné vrátia túto chybu.
• Zlá brána 502: Služba DoH nedokázala komunikovať s verejnými DNS servermi Google. Možno by fungovalo vyskúšanie inej adresy, ale efektívnejším záložným plánom je vyskúšať inú službu DoH alebo prejsť na tradičný DNS pomocou UDP alebo TCP na adrese 8.8.8.8.

Najlepšie postupy pre ochranu súkromia a výkon

Vývojári aplikácií DoH by mali obmedziť hlavičky HTTP. Hlavičky ako Cookie, User-Agent a Accept-Language môžu odhaliť informácie o implementácii klienta a prispieť k deanonymizácii . Odporúča sa odosielať iba hlavičky potrebné pre DoH: Host, Content-Type (pre požiadavky POST) a v prípade potreby Accept. Hlavička User-Agent by mala byť zahrnutá vo vývojových alebo testovacích verziách. Je tiež vhodné použiť možnosti dopĺňania EDNS na skrátenie dotazov na bežné dĺžky a sťaženie analýzy prevádzky. Dopĺňanie HTTP/2 je možné, ale na rozdiel od dopĺňania EDNS negeneruje dopĺňanie v odpovediach servera DoH.

Metóda POST v RFC 8484 by sa mala používať iba v aplikáciách alebo režimoch prehliadača citlivých na súkromie. Používanie metódy POST znižuje kapacitu vyrovnávacej pamäte a môže zvýšiť latenciu, preto sa vo všeobecnosti neodporúča . Zníženie veľkosti vyrovnávacej pamäte však môže byť vhodné pre aplikácie, ktoré chcú zabrániť útokom na synchronizáciu webových aplikácií zameraným na zistenie, ktoré domény používateľ nedávno navštívil. Prístup HTTPS má aj praktické výhody: rozhrania HTTPS API sú široko dostupné a podporované, čo zjednodušuje implementáciu; služba HTTPS poskytuje webovým aplikáciám prístup ku všetkým typom záznamov DNS, čím sa vyhýba obmedzeniam rozhraní API prehliadača alebo operačného systému, ktoré sú zvyčajne obmedzené na vyhľadávanie hostiteľa na adresu; a klienti, ktorí implementujú HTTPS cez UDP s QUIC, sa môžu vyhnúť problémom, ako je blokovanie záhlavia riadku, ku ktorým dochádza pri TCP. Ak narazíte na chybu alebo chcete požiadať o novú funkciu, mali by ste problém súvisiaci s DoH nahlásiť prostredníctvom bežných kanálov.

Časté otázky o DoH a VPN

Jednou z najčastejšie kladených otázok je, či má zmysel používať DoH, keď už používate VPN. Je to možné, ale najpraktickejším prístupom je zvyčajne nechať VPN spravovať DNS a overiť pomocou testu tesnosti, či dotazy prechádzajú správnymi kanálmi. Ak prehliadač odosiela svoje vlastné dotazy jedným smerom a VPN iným, môžete byť nepríjemne prekvapení.

Ďalšou častou otázkou je, či DoH bráni vášmu poskytovateľovi internetových služieb vidieť, ktoré webové stránky navštevujete. DoH skrýva DNS dotazy pred mnohými pozorovateľmi, ale neodstraňuje všetky metadáta ani neskrýva vašu IP adresu : váš poskytovateľ internetových služieb stále vidí, ku ktorým IP adresám sa pripájate, a ďalšie sieťové informácie. Pre širšiu ochranu potrebujete VPN alebo kombináciu viacerých vrstiev ochrany osobných údajov.

Tiež sa oplatí opýtať, či je DomainHost (DoH) postačujúci na verejných Wi-Fi sieťach. Môže pomôcť zabrániť prevádzkovateľovi siete v jednoduchom čítaní vašich DNS dotazov, ale nechráni celé pripojenie ani prevádzku všetkých aplikácií . Na letiskách, v hoteloch a kaviarňach je používanie VPN zvyčajne komplexnejšie, najmä ak neviete, kto ovláda router alebo či sú pripojení aj iní ľudia.

Systém názvov domén (DoH) a VPN nie sú priamymi rivalmi, ale skôr nástrojmi s odlišnými možnosťami. DoH šifruje vyhľadávanie domény a znižuje odhalenie tejto časti procesu; VPN šifruje cestu medzi vaším zariadením a serverom a mení IP adresu, ktorú vidia cieľové stanice . Ani jedna z nich vás nerobí neviditeľnými: účty, súbory cookie, odtlačky prstov prehliadača, povolenia aplikácií, malvér a akékoľvek údaje, ktoré zdieľate priamo, vás stále môžu identifikovať. To ich však nerobí nepoužiteľnými. Znamená to jednoducho, že každá z nich má svoju úlohu. DoH chráni vyhľadávanie adresy; VPN chráni oveľa väčšiu časť cesty, ktorou sa vaše údaje prenášajú.