DNS prek HTTPS: kaj je to in kako ščiti vaše poizvedbe

Alfa vodnik » IT » DNS prek HTTPS: kaj je to in kako ščiti vaše poizvedbe

Ko vnesete spletni naslov, v ozadju deluje komponenta, ki zagotavlja, da pridete do pravilnega spletnega mesta: sistem domenskih imen (DNS). DNS prevaja imena, ki si jih je enostavno zapomniti, v naslove IP , ki jih računalniki razumejo. To je priročno, da, vendar je leta delovalo z veliko ranljivostjo: te poizvedbe so potovale nešifrirane. Zato je DNS prek HTTPS, znan tudi kot DoH, postal tako pomemben – dodatna plast zaščite, ki vašemu ponudniku internetnih storitev otežuje sledenje domen, ki jih obiščete.

Pomembno je, da že na začetku razjasnimo eno stvar: DoH izboljša zasebnost poizvedb DNS, vendar ni VPN in ne spremeni celotne povezave v skrivni predor . V tem članku bomo raziskali, kaj točno je, zakaj je postal priljubljen, kako ga aktivirati v Chromu, Edgeu in Firefoxu, njegove prednosti in slabosti, kako se razlikuje od DNS prek TLS in VPN-ja ter obseg njegovih tehničnih in praktičnih omejitev.

Kaj je DNS in zakaj tradicionalni sistem ne uspeva?

DNS strežniki so ena tistih komponent, ki jih skoraj nihče ne gleda, a so osnova velikega dela brskanja po spletu. Njihova naloga je povezati ime domene z IP-naslovom ustreznega strežnika . Ko obiščete spletno mesto, vaš računalnik ne razume črk: potrebuje IP-naslov, da ve, s katerim računalnikom se mora povezati. Številni usmerjevalniki imajo DNS strežnike, ki jih je že konfiguriral ponudnik internetnih storitev, kar postopek naredi priročnim, čeprav pušča vidno sled za tistega, ki nadzoruje to infrastrukturo.

Osnovna težava je v tem, da se tradicionalne poizvedbe DNS izvajajo v navadnem besedilu in brez zaščite . To odpira vrata prisluškovanju, napadom »človek vmes« in manipulaciji odgovora. Ponudnik internetnih storitev lahko ugotovi, katere domene poizvedujete in kdaj; napadalec v skupnem omrežju lahko poskuša prestreči zahtevo in vrne goljufiv odgovor. Ta tehnika je znana kot ugrabitev DNS-a in vas lahko na koncu pripelje do lažne strani, neželenega oglaševanja ali spletnega mesta, namenjenega kraji podatkov. Vlade in ponudniki internetnih storitev so te slabosti v preteklosti izkoriščali tudi za uvedbo cenzure, blokiranje domen ali prikazovanje dodatnega oglaševanja.

• Pasivno poslušanje: Nekdo opazuje poizvedbe in sklepa, katere storitve ali spletna mesta pogosto obiskujete.
• Človek vmes: Komunikacija je prestrežena in odgovor je spremenjen tako, da pooseblja strežnik.
• Blokiranje in filtriranje: Preprečuje razreševanje določenih domen, da bi nadzoroval dostop do vsebine.

DNS prek HTTPS: Šifrirajte poizvedbo, da ni vidna vsem.

DNS prek HTTPS ali DoH je rešitev, ki izkorišča protokol HTTPS za prenos poizvedb in odgovorov DNS v šifrirani obliki . Namesto pošiljanja jasne zahteve DNS jo naprava enkapsulira v varno povezavo, običajno z uporabo vrat 443, enakih vrat, kot jih uporabljajo varna spletna mesta. To ščiti tako poizvedbo kot odgovor in preprečuje zunanjemu opazovalcu, da bi ju zlahka prebral.

Da bi to delovalo, mora strežnik DNS, ki ga poizvedujete, podpirati tudi DNS na osnovi domene (DoH ). Samo omogočanje možnosti v brskalniku ni dovolj: izbrani razreševalec se mora držati tega standarda. Specifikacija se razvija in še vedno velja za tehnologijo v razvoju, čeprav jo podjetja, kot sta Google in Mozilla Foundation, od leta 2018 testirajo in integrirajo. Poleg izboljšane zasebnosti testi kažejo, da lahko DoH zmanjša zakasnitev in pospeši poizvedbe, saj ni vedno treba razrešiti celotne domene, temveč le minimalni zahtevani del.

Prednosti DoH: več zasebnosti, manj manipulacij in boljša zmogljivost

Najbolj očitna prednost je varnost. Ker potujejo šifrirano, je poizvedbe DNS veliko težje vohuniti ali spreminjati . To otežuje napade tipa »človek vmes«, zmanjšuje izpostavljenost v javnih omrežjih Wi-Fi in preprečuje lokalnemu operaterju, da bi jasno videl, katere domene zahtevate. Ker promet DoH uporablja vrata 443, se zlije z drugimi povezavami HTTPS in ga je težko ločiti od običajnega spletnega obiska.

Obstajajo tudi razlogi za izboljšanje zmogljivosti. DoH lahko zmanjša zakasnitev in pospeši komunikacijo DNS zaradi sprememb v načinu razreševanja imen in boljše uporabe predpomnilnika. Na primer, metoda GET nekaterih API-jev je zasnovana za učinkovitejše predpomnjenje. V praksi se to lahko prevede v nekoliko hitrejše brskanje, čeprav to ni čarobna rešitev in izboljšanje ni vedno opazno. Poleg tega, ker je implementirano v brskalniku, uporabniku ni treba čakati, da ga aktivira njegov ponudnik internetnih storitev.

Slabosti in razprave: ko šifriranje zaplete življenje

Vsi ne gledajo na šifriranje na podlagi domen (DoH) pozitivno. Isto šifriranje, ki ščiti uporabnika, otežuje tudi spremljanje omrežja . Številni programi starševskega nadzora se zanašajo na pregledovanje poizvedb DNS, da bi ugotovili, do katerih spletnih mest otroci poskušajo dostopati; z DoH ta naloga postane veliko bolj zapletena in morda celo nemogoča. Podobna situacija obstaja za skrbnike omrežij v podjetjih, ki izgubijo vpogled v domene, ki se poizvedujejo, in ne morejo tako enostavno uveljavljati določenih pravil.

Ponudniki interneta prav tako izgubijo možnost spremljanja dostopa in blokiranja določenih domen na zahtevo institucije. To sproža legitimno razpravo: nekateri to vidijo kot zmago zasebnosti, drugi pa kot problem nadzora in upravljanja . V primeru DoT ga kritizirajo tudi zaradi uporabe lastnih prepoznavnih vrat, ki omogočajo identifikacijo poizvedb DNS, tudi če ne vemo natančno, kaj se sprašuje. DoH se temu jasnemu signalu izogne ​​tako, da se prikrije v promet HTTPS, vendar imajo omrežni skrbniki v zameno manj orodij za upravljanje svojih komunikacij.

Kako omogočiti DoH v Chromu, Edgeu in Firefoxu

Omogočanje sistema domenskih imen (DNS) v sodobnem brskalniku je običajno preprosto, še posebej, če temelji na Chromiumu ali Firefoxu. Možnost obstaja, čeprav je v nekaterih primerih skrita v menijih naprednih nastavitev . Preden karkoli spremenite, je pomembno razumeti, da brskalnik ščiti le lastne poizvedbe: druge aplikacije v napravi lahko še naprej uporabljajo drug sistem DNS, če ta ni konfiguriran tudi na sistemski ravni.

Google Chrome

V Chromu je hiter način tipkanje chrome://flags/#dns-over-https v naslovni vrstici. To vas popelje neposredno do Chromovih zastavic ali eksperimentalnih funkcij.Izbrana bo možnost z imenom Varna iskanja DNS; kliknite spustni meni z napisom Privzeto in izberite Omogočeno. Nato boste morali znova zagnati brskalnik, da sprememba začne veljati.

Microsoft Edge

V brskalniku Edge, ki temelji na Chromiumu, je postopek praktično enak. Odprite brskalnik in vtipkajte edge://flags/#dns-over-https v iskalni vrsticiV Edgeove zastavice boste vnesli in prikazala se bo ista možnost varnega iskanja DNS. Spremenite privzeto na omogočeno in znova zaženite brskalnik, ko boste pozvani.

Mozilla Firefox

V Firefoxu vam ni treba iti v razdelek Zastavice. Kliknite gumb menija v zgornjem desnem kotu in izberite Možnosti . V razdelku Splošno se pomaknite na dno in kliknite Omrežne nastavitve. V oknu, ki se odpre, potrdite polje poleg možnosti Omogoči DNS prek HTTPS. Nato lahko izbirate med ponudniki, kot sta Cloudflare in NextDNS, za izvajanje šifriranja prek HTTPS.

DNS prek TLS (DoT): druga šifrirana pot

DNS prek TLS ali DoT je še en način zaščite poizvedb DNS. Namesto HTTPS uporablja TLS prek povezave TCP in standardiziranih vrat 853. TLS je enaka varnostna osnova kot HTTPS, zato je ideja podobna: ustvariti šifriran tunel, v katerem lahko le dva udeleženca dešifrirata in obdelujeta informacije. To otežuje napade tipa »človek vmes« in preprečuje tretji osebi, da bi prebrala ali manipulirala s poizvedbo.

DotT ima svoje prednosti, zlasti v primerjavi s tradicionalnim DNS-om, ki ne ponuja nobenih varnostnih ukrepov. Šifriranje preprečuje kibernetskim kriminalcem prestrezanje zahtev in ovira tudi nekatere cenzurne ukrepe . Vendar pa zahteva združljivost tako odjemalca kot strežnika. Več ponudnikov ponuja združljive strežnike, vendar uporaba na namiznem ali prenosnem računalniku običajno zahteva namestitev dodatne programske opreme; v sodobnem Androidu, vsaj od Androida 9 naprej, je že integrirana. Rešitve obstajajo za Windows in Linux, čeprav niso vedno tako pregledne, kot bi si morda želeli.

Med pomanjkljivostmi mnogi strokovnjaki za varstvo podatkov kritizirajo DoT zaradi uporabe enih, prepoznavnih vrat. Čeprav je nemogoče vedeti, do katerega spletnega mesta se dostopa, je mogoče zaznati promet DNS . Za nekatere skrbnike omrežja je to koristno, ker jim omogoča pregled nad dogajanjem; za druge je to signal, ki ga raje skrijejo. Poleg tega DoT še ni tako razširjen kot tradicionalni DNS, njegova uporaba na strani strežnika pa je omejena. Obstajajo pomisleki, da bo nekaj podjetij vse bolj koncentriralo poizvedbe DNS, kar bi lahko ustvarilo nekakšen mednarodni monopol.

DoH proti DoT: Dva načina za zaščito iste stvari

Glavna razlika med DoH in DoT je v vratih in načinu prikrivanja prometa. DoT uporablja svoja vrata, 853, medtem ko DoH uporablja 443 in se zlije z običajnimi povezavami HTTPS . Ta na videz majhna razlika je sprožila precejšnjo razpravo. Z vidika zasebnosti je nerazločljivost poizvedb DNS od drugega prometa prednost: če niso prepoznane, jih ni mogoče tako enostavno manipulirati. Z vidika upravljanja omrežja pa se nadzor izgubi in težje je izvajati varnostne ali filtrirajoče politike.

V osnovi obstajata dve viziji. IETF, konzorcij, ki razvija številne internetne standarde, stoji za DoT , medtem ko Google in fundacija Mozilla močno spodbujata DoH. To nista nasprotujoči si tehnologiji, vendar predstavljata različna načina razumevanja zasebnosti, vidnosti omrežja in vloge posrednikov. Izbira med eno in drugo je odvisna od tega, kaj je treba zaščititi in kdo mora upravljati omrežje.

DoH v primerjavi z VPN: Ščiti vprašanje, ne celotne poti

DoH in VPN se pogosto omenjata v istih pogovorih o zasebnosti, vendar ne počneta istega. DoH ščiti poizvedbo imena; VPN ščiti pot, po kateri potujejo vaši podatki . Najenostavnejši način za razumevanje tega je, da si predstavljamo, da DoH občutljivo vprašanje položi v zaprto ovojnico, medtem ko VPN celotno pot opravi skozi zasebni predor, preden se vrne na javno cesto. Oba lahko izboljšata zasebnost, vendar je le eden zasnovan tako, da celovito pokriva promet telefonov, tablic in računalnikov.

Kaj naredi DNS, preden se spletno mesto naloži?

Preden lahko vaš brskalnik naloži spletno mesto, mora vaša naprava poznati njegovo lokacijo. DNS deluje kot telefonski imenik, ki pretvarja ime spletnega mesta v naslov IP . To se dogaja nenehno: ko odprete stran, zaženete aplikacijo, posodobite e-pošto ali predvajate videoposnetek. Večinoma se to zgodi tiho in tega ne opazite, kar je odlično za udobje, a hkrati omogoča, da se to zlahka spregleda kot težava z zasebnostjo. Tradicionalne poizvedbe DNS niso šifrirane, zato lahko vaš ponudnik internetnih storitev, vaš delodajalec, vaša šola, Wi-Fi v kavarni ali hotelsko omrežje vidijo, katere domene poskuša doseči vaša naprava. Ne vidijo celotne vsebine strani HTTPS, vendar dobijo precej razkrivajoč oris vaše dejavnosti.

Poizvedba DNS ne razkrije vsake strani, ki ste si jo ogledali, ali vsega, kar vnesete v obrazec, vendar lahko seznam domen razkrije navade, interese, delovna orodja, zdravstvene raziskave ali finančne storitve . Zato je šifrirani DNS postal uporabna funkcija zasebnosti. Ne razkrije vsega, vendar razkrije več, kot se mnogi zavedajo.

Kaj DoH skriva in kaj razkriva?

DoH pošilja poizvedbe DNS prek HTTPS, istega šifriranega protokola, ki ga uporabljajo varna spletna mesta. Zahteva pusti vašo napravo šifrirano in prispe do razreševalnika, ki podpira standard . V javnem omrežju Wi-Fi lahko to oteži omrežnemu operaterju nenamerno branje vaših poizvedb. Če vaš ponudnik internetnih storitev upravlja DNS, lahko prehod na razreševalnik DoH prepreči, da bi te poizvedbe videl na običajen način. Poleg tega lahko šifriran DNS zmanjša nekatere oblike manipulacije, če omrežje manipulira z rezultati razreševanja imen.

DoH zdaj skrije poizvedbo, ne celotnega pogovora. Nekaterim opazovalcem morda prepreči jasen ogled iskanja domene, vendar ne spremeni celotne internetne povezave v šifriran tunel . Ko naprava prepozna naslov IP, preostanek povezave sledi svoji običajni poti, razen če drugo orodje za zasebnost spremeni to pot. DoH ne skrije vašega pravega naslova IP pred spletnimi mesti, aplikacijami ali storitvami, s katerimi se povežete, niti ne ustvari vtisa, da ste v drugem mestu ali državi. Če se prijavite v račun, storitev ve, da ste to vi. Če ima brskalnik piškotke, shranjene seje, oglaševalske identifikatorje ali prepoznaven prstni odtis, DoH teh signalov ne izbriše.

Prav tako ne ščiti vseh aplikacij, razen če je konfigurirana na sistemski ravni in aplikacija spoštuje to nastavitev. En brskalnik lahko uporablja varen DNS, medtem ko druga aplikacija v isti napravi uporablja drugo pot DNS . Nekatere aplikacije upravljajo svoje omrežje in se ne ujemajo vedno z nastavitvami sistema ali brskalnika. Zato lahko DoH ustvari lažen občutek popolne zaščite: izboljša zasebnost poizvedb DNS, vendar ne ščiti prenosa datotek, prometa sporočil, video klicev, povezav iger, sinhronizacije v ozadju ali aplikacij za pretakanje, kot bi to storil VPN.

Kaj VPN ščiti in česa ne more skriti?

VPN ščiti drugačen del vaše poti. Ustvari šifriran tunel med vašo napravo in strežnikom VPN, ki usmerja vaš internetni promet prek tega strežnika . Vaš ponudnik internetnih storitev ali lokalno omrežje Wi-Fi vidi šifrirano povezavo s strežnikom VPN, ne pa jasnega pregleda vsakega spletnega mesta in storitve, s katero se povežete. Poleg tega VPN spremeni javni naslov IP, ki ga vidijo spletna mesta in aplikacije: namesto naslova IP vašega domačega ali mobilnega operaterja cilj vidi naslov IP strežnika VPN. To lahko zmanjša sledenje na podlagi lokacije, vam pomaga obiti nekatere profile ponudnikov internetnih storitev in poveča varnost uporabe javnega omrežja Wi-Fi.

Celovit VPN lahko zaščiti brskalnike, aplikacije za pretakanje, e-poštne odjemalce, orodja za varnostno kopiranje v oblaku, aplikacije za sporočanje, igre in storitve v ozadju. Ob pravilni konfiguraciji lahko prek šifriranega tunela usmeri tudi zahteve DNS , zato je dobro izvesti test puščanja DNS. Kljub temu VPN ni čarovnija. Če se prijavite v družbeno omrežje, e-poštni račun, storitev pretakanja ali spletno trgovino, ta storitev še vedno ve, kdo ste. Lahko skrije vaš prvotni naslov IP, vendar ne anonimizira vaše prijave. Enako velja za vse, kar pošljete neposredno: vaše ime, e-poštni naslov, podatke o plačilu, naslov za dostavo, fotografije ali sporočila.

Piškotki in prstni odtis brskalnika so še vedno pomembni. Aplikacije lahko povzročijo podobne težave z oglaševalskimi identifikatorji, dovoljenji, dostopom do lokacije, skeniranjem Bluetooth, imeni bližnjih omrežij Wi-Fi in orodji za skeniranje. Zlonamerna programska oprema je še ena velika ovira, saj lahko zajame podatke, še preden dosežejo tunel VPN . Skratka, VPN skrije in šifrira veliko dejavnosti, vendar ne prikrije vsakega digitalnega prstnega odtisa.

DoH in VPN se lahko uporabljata hkrati

Da, lahko jih kombinirate, vendar je idealna nastavitev odvisna od tega, kako naprava, brskalnik in aplikacija VPN obravnavajo DNS. V mnogih primerih je najpreprostejša rešitev, da VPN upravlja DNS . Dobra aplikacija bi morala pošiljati poizvedbe DNS prek šifriranega tunela, da jih vaš ponudnik internetnih storitev ne prejme neposredno. Na ta način dobite zasebnost DNS kot del povezave VPN, ne da bi morali posebej prilagajati nastavitve brskalnika.

Težava nastane, ko brskalnik uporablja lastno konfiguracijo avtoritete domene (DoH), medtem ko VPN poskuša upravljati DNS na sistemski ravni. Nič se morda ne pokvari, vendar pride do zmede : morda mislite, da vse poizvedbe gredo prek VPN-ja, v resnici pa brskalnik nekatere sam pošilja drugemu razreševalniku. Tukaj pride prav test puščanja DNS-a. Če po povezavi z VPN-jem vidite strežnike DNS vašega ponudnika internetnih storitev, nekaj ne deluje po pričakovanjih; če vidite strežnike, povezane z VPN-jem, konfiguracija najverjetneje deluje pravilno.

Kdaj je DoH zadosten in kdaj je priporočljiv VPN?

DoH je lahko zadosten, kadar je vaša glavna skrb osnovna zasebnost poizvedb DNS v vašem brskalniku. V zaupanja vrednem domačem omrežju omogočanje varnega DNS-a zmanjša izpostavljenost navadnemu besedilu, ne da bi morali spremeniti lokacijo ali zavarovati vse svoje aplikacije . Uporaben je tudi v omrežjih, kjer je filtriranje ali manipulacija DNS-a zaskrbljujoča, saj potovanje prek HTTPS otežuje enostaven pregled ali spreminjanje. To ne pomeni, da zaobide vse omejitve ali da je odporen na cenzuro, vendar je pomembna izboljšava v primerjavi z nešifriranim DNS-om. Poleg tega je lahek: ni vam treba izbrati strežnika VPN ali bistveno spremeniti usmerjanja in običajno ne boste opazili bistvenega vpliva na hitrost.

VPN je najbolj smiseln, kadar želite zaščito celotne naprave, ne le iskanj DNS. To vključuje letališča, hotele, šole, prostore za skupno delo, kavarne in najemniške nastanitve . V skupnih omrežjih ne veste, kdo nadzoruje usmerjevalnik, kdo je še povezan ali ali kdo poskuša prestreči promet. VPN pomaga tudi, kadar ne želite, da vaš ponudnik internetnih storitev ustvari profil vaših vzorcev brskanja: čeprav HTTPS ščiti vsebino strani, lahko omrežni metapodatki še vedno razkrijejo koristne vzorce. Potovanje je še en jasen primer: VPN lahko naredi vašo povezavo bolj dosledno, vas zaščiti v neznanih omrežjih in omogoči spletnim mestom, da vidijo lokacijo strežnika VPN namesto vaše začasne lokalne povezave.

Tehnične podrobnosti API-jev DoH za javni DNS podjetja Google

Google Public DNS ponuja dva različna DoH API-ja. Eden je zasnovan za RFC 8484 in sprejema zahteve GET in POST na https://dns.google/dns-query; drugi je JSON API, ki podpira samo zahteve GET na https://dns.google/resolve . Na https://dns.google/ je tudi spletni vmesnik, ki v brskalniku prikazuje rezultate JSON, vendar ne izvaja celotnega API-ja. Tega vmesnika ne smemo zamenjevati z URL-ji API-ja ali s https://dns.google/query. Storitev ne podpira nezaščitenih URL-jev HTTP, DoH pa podpira tudi Googlova javna storitev DNS64, čeprav je v tem primeru podprt samo IPv6. Googlova dokumentacija o varnem prenosu vključuje primere kodiranja in podrobnosti o TLS, DoT in DoH.

Razpoložljive metode HTTP

Metoda GET lahko zmanjša zakasnitev, ker učinkoviteje shranjuje v predpomnilnik. Zahteve GET po standardu RFC 8484 morajo vsebovati parameter `?dns=` s sporočilom DNS, kodiranim v Base64Url , in je edina metoda, ki jo podpira JSON API. Metoda POST je prav tako na voljo samo v standardu RFC 8484 in uporablja binarno sporočilo DNS z `application/dns-message` v telesu zahteve in odgovora. Metoda HEAD trenutno ni podprta in vrne napako 400 Bad Request. Druge metode vrnejo napako 501 Not Implemented.

Kode stanja in napake

API vrne več kod HTTP, ki jih je vredno poznati. Koda 200 OK pomeni, da sta bila razčlenjevanje HTTP in komunikacija z razreševalnikom DNS uspešna ; telo odgovora je lahko binarni odgovor DNS ali JSON, odvisno od končne točke, glave Accept in parametrov GET. Opomba: napaka HTTP je lahko tudi napaka DNS, zato je priporočljivo preveriti kodo odgovora DNS, na primer polje »Status« v JSON, za napake, kot so SERVFAIL, FORMERR, REFUSED ali NOTIMP.

• 301 Trajno premaknjeno: Odjemalec mora ponovno poskusiti zahtevo na URL-ju, navedenem v polju Lokacija. Če je bila prvotna zahteva POST, naj poskusi znova z GET le, če novi URL določa parameter DNS; sicer se mora ponoviti s POST. Pojavijo se lahko tudi statusne kode 302, 307 in 308, odjemalci DoH pa morajo obdelati vse štiri. Trajne statusne kode 301 in 308 je mogoče predpomniti za nedoločen čas. Zahteve POST, ki prejmejo statusno kodo 307 ali 308, je treba vedno poskusiti znova s ​​POST.
• 400 slaba zahteva: Težave pri razčlenjevanju parametrov GET ali neveljavno sporočilo zahteve DNS. Večina neveljavnih sporočil DNS prejme napako 200 OK z FORMERR, vendar se napake HTTP pojavijo pri neberljivih sporočilih brez razdelka z vprašanjem, s kodo QR, ki označuje odgovor, ali z nesmiselnimi kombinacijami kod.
• 413 Prevelik koristni tovor: Telo zahteve POST RFC 8484 presega največjo dovoljeno velikost sporočila 512 bajtov.
• 414 URI je predolg: Glava poizvedbe GET je bila prevelika ali pa je parameter dns presegel 512 bajtov.
• 415 Nepodprta vrsta medija: Telo POST ni vsebovalo glave tipa vsebine application/dns-message.
• 429 Preveč zahtev: V danem obdobju je bilo poslanih preveč zahtev. Odjemalec mora počakati do časa, navedenega v glavi »Ponovni poskus po«.
• Notranja napaka strežnika 500: Notranje napake v storitvi DoH.
• 501 Ni izvedeno: Implementirana sta samo GET in POST; ostali vrnejo to napako.
• 502 Slab prehod: Storitev DoH ni mogla komunicirati z razreševalniki javnega DNS-ja Google. Poskus z drugim naslovom bi morda deloval, vendar je učinkovitejši rezervni načrt poskusiti drugo storitev DoH ali preklopiti na tradicionalni DNS z uporabo UDP ali TCP na naslovu 8.8.8.8.

Najboljše prakse za zasebnost in učinkovitost delovanja

Razvijalci aplikacij DoH bi morali omejiti glave HTTP. Glave, kot so Cookie, User-Agent in Accept-Language, lahko razkrijejo informacije o implementaciji odjemalca in prispevajo k deanonimizaciji . Priporočljivo je poslati samo glave, ki so potrebne za DoH: Host, Content-Type (za zahteve POST) in, če je potrebno, Accept. Glava User-Agent mora biti vključena v razvojne ali testne različice. Priporočljivo je tudi uporabiti možnosti dopolnjevanja EDNS, da skrajšate poizvedbe na običajne dolžine in otežite analizo prometa. Dopolnjevanje HTTP/2 je možno, vendar za razliko od dopolnjevanja EDNS ne ustvarja dopolnjevanja v odgovorih strežnika DoH.

Metoda POST v RFC 8484 se sme uporabljati le v aplikacijah ali načinih brskalnika, ki občutljivo ravnajo z zasebnostjo. Uporaba metode POST zmanjša kapaciteto predpomnilnika in lahko poveča zakasnitev, zato na splošno ni priporočljiva . Vendar pa je zmanjšanje velikosti predpomnilnika morda priporočljivo za aplikacije, ki želijo preprečiti napade sinhronizacije spletnih aplikacij, katerih cilj je odkriti, katere domene je uporabnik nedavno obiskal. Pristop HTTPS ima tudi praktične prednosti: API-ji HTTPS so široko dostopni in podprti, kar poenostavlja implementacijo; storitev HTTPS omogoča spletnim aplikacijam dostop do vseh vrst zapisov DNS, s čimer se izognejo omejitvam API-jev brskalnika ali operacijskega sistema, ki so običajno omejeni na iskanje od gostitelja do naslova; odjemalci, ki implementirajo HTTPS prek UDP s QUIC, pa se lahko izognejo težavam, kot je blokiranje glave vrstice, ki se pojavljajo pri TCP. Če naletite na napako ali želite zahtevati novo funkcijo, morate težavo, povezano z DoH, prijaviti prek običajnih kanalov.

Pogosta vprašanja o DoH in VPN

Eno najpogostejših vprašanj je, ali je smiselno uporabljati DoH, če že uporabljate VPN. Možno je, vendar je najbolj praktičen pristop običajno, da VPN-ju pustite, da upravlja DNS , in s testom tesnjenja preverite, ali poizvedbe gredo po pravilnih kanalih. Če brskalnik pošilja svoje poizvedbe v eno smer, VPN pa v drugo, vas lahko čaka neprijetno presenečenje.

Drugo pogosto vprašanje je, ali DoH preprečuje vašemu ponudniku internetnih storitev, da bi videl, katera spletna mesta obiščete. DoH skrije poizvedbe DNS pred številnimi opazovalci, vendar ne odstrani vseh metapodatkov ali skrije vašega naslova IP : vaš ponudnik internetnih storitev lahko še vedno vidi, s katerimi naslovi IP se povezujete in druge omrežne podatke. Za širšo zaščito potrebujete VPN ali kombinacijo več plasti zasebnosti.

Prav tako se je vredno vprašati, ali je DomainHost (DoH) zadosten na javnih omrežjih Wi-Fi. Lahko prepreči, da bi omrežni operater zlahka prebral vaše poizvedbe DNS, vendar ne zaščiti celotne povezave ali prometa vseh aplikacij . Na letališčih, v hotelih in kavarnah je uporaba VPN-ja običajno bolj celovita, še posebej, če ne veste, kdo nadzoruje usmerjevalnik ali ali so povezani še drugi ljudje.

Sistem domenskih imen (DoH) in VPN-ji niso neposredni tekmeci, temveč orodji z različnimi zmogljivostmi. DoH šifrira iskanje domene in zmanjšuje izpostavljenost tega dela postopka; VPN šifrira pot med vašo napravo in strežnikom ter spremeni IP-naslov, ki ga vidijo cilji . Nobeden od njiju vas ne naredi nevidnega: računi, piškotki, prstni odtisi brskalnika, dovoljenja aplikacij, zlonamerna programska oprema in vsi podatki, ki jih delite neposredno, vas lahko še vedno identificirajo. Vendar to ne pomeni, da so neuporabni. To preprosto pomeni, da ima vsak svojo vlogo. DoH ščiti iskanje naslova; VPN pa ščiti veliko večji del poti, ki jo vaši podatki uberejo.