DNS преко HTTPS-а: шта је то и како штити ваше упите

Алфа водич » Рачунање » DNS преко HTTPS-а: шта је то и како штити ваше упите

Када укуцате веб адресу, постоји компонента која ради иза кулиса како бисте осигурали да дођете до исправне странице: систем имена домена (DNS). DNS преводи лако запамтљива имена у IP адресе које рачунари могу да разумеју. То је згодно, да, али годинама је функционисало са значајном рањивошћу: ови упити су путовали нешифровани. Зато је DNS преко HTTPS-а, познат и као DoH, постао толико истакнут – додатни слој заштите који вашем интернет провајдеру отежава праћење које домене посећујете.

Важно је разјаснити једну ствар од самог почетка: DoH побољшава приватност DNS упита, али није VPN, нити претвара целу вашу везу у тајни тунел . У овом чланку ћемо истражити шта је тачно то, зашто је постало популарно, како га активирати у Chrome-у, Edge-у и Firefox-у, његове предности и мане, како се разликује од DNS-а преко TLS-а и VPN-а, и обим његових техничких и практичних ограничења.

Шта је DNS и зашто традиционални систем не успева?

ДНС сервери су једна од оних компоненти које скоро нико не гледа, а ипак су основа великог дела прегледања интернета. Њихов задатак је да повежу име домена са ИП адресом одговарајућег сервера . Када посетите веб локацију, ваш рачунар не разуме слова: потребна му је ИП адреса да би знао са којим рачунаром да се повеже. Многи рутери долазе са ДНС серверима које је већ конфигурисао интернет провајдер, што чини процес практичним, иако такође оставља видљив траг за онога ко контролише ту инфраструктуру.

Основни проблем је што се традиционални DNS упити врше у обичном тексту и без заштите . Ово отвара врата прислушкивању, нападима типа „посредник“ и манипулацији одговором. Интернет провајдер може да сазна које домене упућујете и када; нападач на дељеној мрежи може да покуша да пресретне захтев и врати лажни одговор. Ова техника је позната као отмица DNS-а и на крају вас може довести до лажне странице, нежељеног оглашавања или сајта дизајнираног за крађу података. Владе и интернет провајдери су такође историјски злоупотребљавали ове слабости да би спровели цензуру, блокирали домене или приказивали додатне огласе.

• Пасивно слушање: Неко посматра упите и закључује које услуге или веб странице често посећујете.
• Човек у средини: Комуникација се пресрета, а одговор се модификује тако да се лажно представља као сервер.
• Блокирање и филтрирање: Спречава решавање одређених домена како би контролисао приступ садржају.

DNS преко HTTPS-а: Шифрујте упит тако да не буде видљив свима.

ДНС преко HTTPS-а, или DoH, је решење које користи HTTPS протокол за пренос ДНС упита и одговора у шифрованом облику . Уместо слања јасног ДНС захтева, уређај га инкапсулира унутар безбедне везе, обично користећи порт 443, исти порт који користе безбедни веб-сајтови. Ово штити и упит и одговор, спречавајући спољног посматрача да их лако прочита.

Да би ово функционисало, DNS сервер на који се шаље упит мора такође да подржава DNS заснован на домену (DoH ). Само омогућавање опције у прегледачу није довољно: изабрани резолвер мора да се придржава овог стандарда. Спецификација се развија и још увек се сматра технологијом у развоју, иако је од 2018. године компаније попут Google-а и Mozilla Foundation тестирају и интегришу. Поред побољшане приватности, тестови показују да DoH може смањити латенцију и убрзати упите, јер није увек потребно разрешити цео домен, већ само минимално потребан део.

Предности DoH-а: већа приватност, мање манипулације и боље перформансе

Најочигледнија предност је безбедност. Пошто путују шифровани, DNS упите је много теже шпијунирати или изменити . Ово компликује нападе типа „посредник“, смањује изложеност на јавним Wi-Fi мрежама и спречава локалног оператера да јасно види које домене захтевате. Пошто DoH саобраћај користи порт 443, он се стапа са другим HTTPS везама и тешко га је разликовати од нормалне веб посете.

Постоје и разлози везани за перформансе. DoH може смањити латенцију и убрзати DNS комуникацију захваљујући променама у начину на који се имена разрешавају и бољем коришћењу кеша. На пример, GET метода неких API-ја је дизајнирана да се ефикасније кешира. У пракси, ово се може претворити у нешто брже прегледање, иако то није чаробни штапић и побољшање није увек приметно. Штавише, пошто је имплементирано у прегледачу, корисник не мора да чека да га његов интернет провајдер активира.

Недостаци и дебате: када шифровање компликује живот

Не гледају сви позитивно на шифровање засновано на домену (DoH). Исто шифровање које штити корисника такође отежава праћење мреже . Многи програми родитељског надзора ослањају се на инспекцију DNS упита како би утврдили којим веб локацијама деца покушавају да приступе; са DoH-ом, овај задатак постаје много компликованији и може бити чак и немогућ. Слична ситуација постоји и за администраторе корпоративних мрежа, који губе увид у домене који се испитују и не могу тако лако да спроводе одређена правила.

Интернет провајдери такође губе могућност да прате приступ и блокирају одређене домене на захтев институције. Ово генерише легитимну дебату: неки то виде као победу за приватност, док други сматрају проблемом контроле и управљања . У случају DoT-а, критикован је и због коришћења сопственог препознатљивог порта, који омогућава идентификацију DNS упита чак и без тачног знања шта се пита. DoH избегава овај јасан сигнал маскирајући се унутар HTTPS саобраћаја, али заузврат, мрежним администраторима остаје мање алата за управљање комуникацијама.

Како омогућити DoH у Chrome-у, Edge-у и Firefox-у

Омогућавање система имена домена (DNS) у модерном прегледачу је обично једноставно, посебно ако је базиран на Chromium-у или Firefox-у. Опција постоји, иако је у неким случајевима скривена у напредним менијима подешавања . Пре него што било шта промените, важно је разумети да прегледач штити само сопствене упите: друге апликације на уређају могу наставити да користе други DNS систем ако није конфигурисан и на нивоу система.

гоогле цхроме

У Chrome-у, брз начин је куцање chrome://flags/#dns-over-https у траци за адресу. То вас директно води до Chrome-ових заставица или експерименталних функција.Видећете опцију под називом „Безбедне DNS претраге“; кликните на падајући мени са натписом „Подразумевано“ и изаберите „Омогућено“. Затим ћете морати поново да покренете прегледач да би промена ступила на снагу.

мицрософт ивица

У Edge-у базираном на Chromium-у, процес је практично идентичан. Отворите претраживач и укуцајте edge://flags/#dns-over-https у траци за претрагуУнећете Edge-ове Flags и појавиће се иста опција Secure DNS lookups. Промените Default на Enabled и поново покрените прегледач када се то од вас затражи.

Мозилла ФиреФок

У Фајерфоксу не морате да идете на Заставице. Кликните на дугме менија у горњем десном углу и изаберите Опције . У одељку Опште, скролујте до дна и кликните на Мрежна подешавања. У прозору који се отвори, означите поље поред Омогући ДНС преко HTTPS-а. Затим можете да изаберете између провајдера као што су Cloudflare и NextDNS да бисте извршили шифровање преко HTTPS-а.

ДНС преко ТЛС-а (ДоТ): друга шифрована путања

ДНС преко ТЛС-а, или ДоТ, је још један начин заштите ДНС упита. Уместо коришћења ХТТПС-а, користи се ТЛС преко ТЦП везе и стандардизованог порта, 853. ТЛС је иста безбедносна основа као и ХТТПС, тако да је идеја слична: креирати шифровани тунел у којем само два учесника могу да дешифрују и обрађују информације. Ово отежава нападе типа „човек у средини“ и спречава трећу страну да чита или манипулише упитом.

DotT има своје предности, посебно у поређењу са традиционалним DNS-ом, који не нуди никакве безбедносне мере. Енкрипција спречава сајбер криминалце да пресретну захтеве, а такође отежава одређене мере цензуре . Међутим, захтева компатибилност и клијента и сервера. Неколико провајдера нуди компатибилне сервере, али коришћење на десктоп рачунару или лаптопу обично захтева инсталирање додатног софтвера; на модерном Андроиду, барем од Андроида 9, већ је интегрисан. Постоје решења за Windows и Linux, иако нису увек толико транспарентна колико би се могло желети.

Међу недостацима, многи стручњаци за заштиту података критикују DoT због коришћења једног, препознатљивог порта. Иако је немогуће знати којој веб локацији се приступа, могуће је детектовати DNS саобраћај . За неке мрежне администраторе, ово је корисно јер им омогућава да имају преглед шта се дешава; за друге, то је сигнал који би радије сакрили. Штавише, DoT још увек није толико распрострањен као традиционални DNS, а његово усвајање на страни сервера је ограничено. Постоји забринутост да ће неколико компанија све више концентрисати DNS упите, потенцијално стварајући неку врсту међународног монопола.

DoH vs. DoT: Два начина заштите исте ствари

Главна разлика између DoH-а и DoT-а лежи у порту и начину на који је саобраћај прикривен. DoT користи свој порт, 853, док DoH користи 443 и уклапа се у нормалне HTTPS везе . Ова наизглед мала разлика изазвала је значајну дебату. Са становишта приватности, неразликовање DNS упита од осталог саобраћаја је предност: ако се не препознају, не могу се тако лако манипулисати. Међутим, са становишта управљања мрежом, контрола се губи и постаје теже имплементирати безбедносне или филтрирајуће политике.

У својој суштини, постоје две визије. IETF, конзорцијум који развија многе интернет стандарде, стоји иза DoT-а , док су Google и Mozilla Foundation снажно промовисали DoH. Ово нису супротстављене технологије, али представљају различите начине разумевања приватности, видљивости мреже и улоге посредника. Избор између једног и другог зависи од тога шта треба заштитити и ко треба да управља мрежом.

DoH наспрам VPN-а: Штити питање, а не целокупно путовање

ДоХ и ВПН се често појављују у истим разговорима о приватности, али не раде исту ствар. ДоХ штити упит имена; ВПН штити путању којом ваши подаци иду . Најједноставнији начин да се ово разуме јесте да се замисли ДоХ који ставља осетљиво питање у запечаћену коверту, док ВПН чини да цело путовање прође кроз приватни тунел пре него што се врати на јавни пут. Оба могу побољшати приватност, али само један је дизајниран да свеобухватно покрије саобраћај телефона, таблета и рачунара.

Шта DNS ради пре него што се сајт учита?

Пре него што ваш прегледач може да учита веб локацију, ваш уређај мора да зна њену локацију. DNS функционише као телефонски именик, претварајући име веб локације у IP адресу . Ово се дешава стално: када отворите страницу, покренете апликацију, ажурирате имејл или репродукујете видео. Већину времена се то дешава тихо и не примећујете то, што је одлично за практичност, али такође олакшава превиђање као проблем приватности. Традиционални DNS упити нису шифровани, тако да ваш интернет провајдер, ваш послодавац, ваша школа, Wi-Fi кафић или хотелска мрежа могу да виде које домене ваш уређај покушава да досегне. Они не виде цео садржај HTTPS странице, али добијају прилично откривајући преглед ваше активности.

DNS упит не открива сваку страницу коју сте прегледали или све што унесете у образац, али листа домена може открити навике, интересовања, алате за рад, истраживања у области здравља или финансијске услуге . Зато је шифровани DNS постао корисна функција приватности. Не открива све, али открива више него што многи људи схватају.

Шта DoH крије, а шта открива?

DoH шаље DNS упите преко HTTPS-а, истог шифрованог протокола који користе безбедни веб-сајтови. Захтев оставља ваш уређај шифрованим и стиже до резолвера који подржава стандард . На јавној Wi-Fi мрежи, ово може отежати мрежном оператеру да случајно прочита ваше упите. Ако ваш интернет провајдер управља DNS-ом, прелазак на DoH резолвер може га спречити да види ове упите на уобичајен начин. Штавише, ако мрежа манипулише резултатима резолуције имена, шифровани DNS може смањити неке облике манипулације.

Сада, DoH скрива упит, а не цео разговор. Можда ће спречити неке посматраче да јасно виде претрагу домена, али не претвара целу вашу интернет везу у шифровани тунел . Када уређај сазна IP адресу, остатак везе прати своју нормалну путању, осим ако неки други алат за приватност не промени ту руту. DoH не скрива вашу праву IP адресу од веб локација, апликација или услуга на које се повезујете, нити вас чини да изгледате као да сте у другом граду или земљи. Ако се пријавите на налог, услуга зна да сте то ви. Ако прегледач има колачиће, сачуване сесије, идентификаторе оглашавања или препознатљив отисак прста, DoH не брише те сигнале.

Такође не штити сваку апликацију осим ако није конфигурисана на нивоу система и апликација поштује то подешавање. Један прегледач може користити безбедни DNS док друга апликација на истом уређају користи другу DNS путању . Неке апликације управљају сопственом мрежом и нису увек усклађене са подешавањима система или прегледача. Стога, DoH може створити лажни осећај потпуне заштите: побољшава приватност DNS упита, али не штити пренос датотека, саобраћај порука, видео позиве, везе игара, синхронизацију у позадини или апликације за стримовање као што би то учинио VPN.

Шта VPN штити, а шта не може да сакрије?

VPN штити другачији део вашег путовања. Он креира шифровани тунел између вашег уређаја и VPN сервера, усмеравајући ваш интернет саобраћај преко тог сервера . Ваш интернет провајдер или локална Wi-Fi мрежа види шифровану везу са VPN сервером, а не јасан приказ сваке странице и услуге на коју се повезујете. Поред тога, VPN мења јавну IP адресу коју виде веб странице и апликације: уместо IP адресе вашег кућног или мобилног оператера, одредиште види IP адресу VPN сервера. Ово може смањити праћење засновано на локацији, помоћи вам да заобиђете неке профиле интернет провајдера и учинити коришћење јавног Wi-Fi-ја безбеднијим.

Свеобухватни VPN може заштитити прегледаче, апликације за стримовање, клијенте е-поште, алате за резервне копије у облаку, апликације за размену порука, игре и позадинске сервисе. Такође може да усмерава DNS захтеве кроз шифровани тунел када је правилно конфигурисан , због чега је добра идеја да се покрене DNS тест цурења. Уз то, VPN није магија. Ако се пријавите на друштвену мрежу, налог е-поште, сервис за стримовање или онлајн продавницу, тај сервис и даље зна ко сте. Може да сакрије вашу оригиналну IP адресу, али не анонимизује ваше пријавне податке. Исто важи и за све што директно шаљете: ваше име, адресу е-поште, податке о плаћању, адресу за испоруку, фотографије или поруке.

Колачићи и дигитални отисак претраживача су и даље важни. Апликације могу створити сличне проблеме путем идентификатора оглашавања, дозвола, приступа локацији, скенирања путем Bluetooth-а, имена оближњих Wi-Fi мрежа и алата за скенирање. Злонамерни софтвер је још једна велика препрека јер може да прикупи податке чак и пре него што дођу до VPN тунела . Укратко, VPN скрива и шифрује много активности, али не прикрива сваки дигитални отисак прста.

DoH и VPN се могу користити истовремено

Да, могу се комбиновати, али идеално подешавање зависи од тога како уређај, прегледач и VPN апликација обрађују DNS. У многим случајевима, најједноставније решење је да се дозволи VPN-у да обрађује DNS . Добра апликација би требало да шаље DNS упите кроз шифровани тунел како их ваш интернет провајдер не би директно примао. На овај начин добијате DNS приватност као део VPN везе без потребе да посебно подешавате подешавања прегледача.

Проблем настаје када прегледач користи сопствену конфигурацију ауторитета домена (DoH) док VPN покушава да управља DNS-ом на системском нивоу. Ништа се можда не поквари, али долази до забуне : можда мислите да сви упити пролазе кроз VPN, али у стварности, прегледач неке сам шаље другом резолверу. Ту је корисно извести DNS тест цурења. Ако након повезивања са VPN-ом видите DNS сервере вашег интернет провајдера, нешто не ради како се очекује; ако видите сервере повезане са VPN-ом, вероватније је да конфигурација ради исправно.

Када је DoH довољан, а када је VPN препоручљив?

DoH може бити довољан када вам је примарна брига основна приватност DNS упита у вашем прегледачу. На поузданој кућној мрежи, омогућавање Secure DNS-а смањује изложеност отвореном тексту без потребе да мењате локацију или осигурате све своје апликације . Такође је користан на мрежама где је филтрирање или манипулација DNS-ом проблем, јер путовање преко HTTPS-а отежава лаку инспекцију или модификацију. То не значи да заобилази сва ограничења или да је отпоран на цензуру, али је значајно побољшање у односу на нешифровани DNS. Штавише, лаган је: не морате да бирате VPN сервер или значајно мењате рутирање, и обично нећете приметити значајан утицај на брзину.

VPN има највише смисла када желите заштиту целог уређаја, а не само DNS претраге. Ово укључује аеродроме, хотеле, школе, коворкинг просторе, кафиће и смештај за изнајмљивање . На дељеним мрежама не знате ко контролише рутер, ко је још повезан или да ли неко покушава да пресретне саобраћај. VPN такође помаже када не желите да ваш интернет провајдер направи профил ваших образаца прегледања: иако HTTPS штити садржај странице, метаподаци мреже и даље могу открити корисне обрасце. Путовање је још један јасан пример: VPN може учинити вашу везу доследнијом, заштитити вас на непознатим мрежама и учинити да веб странице виде локацију VPN сервера уместо ваше привремене локалне везе.

Технички детаљи Google Public DNS DoH API-ја

Гуглов јавни DNS нуди два различита DoH API-ја. Један је дизајниран за RFC 8484 и прихвата GET и POST захтеве на https://dns.google/dns-query; други је JSON API који подржава само GET захтеве на https://dns.google/resolve . Постоји и веб интерфејс на https://dns.google/ који приказује JSON резултате у прегледачу, али не имплементира потпуни API. Овај интерфејс не треба мешати са API URL-овима или са https://dns.google/query. Сервис не подржава необезбеђене HTTP URL-ове, а DoH је такође подржан од стране Гуглове јавне DNS64 услуге, иако је у том случају подржан само IPv6. Гуглова документација о безбедном транспорту укључује примере curl-а и детаље о TLS, DoT и DoH.

Доступне HTTP методе

GET метода може смањити латенцију јер ефикасније кешира. RFC 8484 GET захтеви морају да садрже параметар `?dns=` са DNS поруком кодираном Base64Url-ом , и то је једина метода коју подржава JSON API. POST метода је такође доступна само у RFC 8484 и користи бинарну DNS поруку са `application/dns-message` и у телу захтева и у телу одговора. HEAD метода тренутно није подржана и враћа грешку 400 Bad Request. Остале методе враћају грешке 501 Not Implemented.

Кодови статуса и грешке

API враћа неколико HTTP кодова које је вредно знати. Вредност 200 OK указује на то да су HTTP парсирање и комуникација са DNS резолвером били успешни ; тело одговора може бити бинарни DNS одговор или JSON у зависности од крајње тачке, заглавља Accept и GET параметара. Напомена: HTTP грешка може бити и DNS квар, па је препоручљиво проверити DNS код одговора, на пример, поље „Status“ JSON-а, за грешке као што су SERVFAIL, FORMERR, REFUSED или NOTIMP.

• 301 Трајно премештено: Клијент мора поново покушати захтев на URL-у наведеном у пољу „Локација“. Ако је оригинални захтев био POST, требало би поново покушати са GET само ако нови URL наводи DNS параметар; у супротном, мора се поновити са POST-ом. Могу се појавити и статусни кодови 302, 307 и 308, а DoH клијенти морају обрадити сва четири. Трајни статусни кодови 301 и 308 могу се кеширати неограничено. POST захтеви који приме статусни код 307 или 308 морају се увек поново покушати са POST-ом.
• КСНУМКС лош захтев: Проблеми са рашчлањивањем GET параметара или неважећа порука DNS захтева. Већина неважећих DNS порука добија грешку 200 OK са FORMERR, али се HTTP грешке јављају за нечитљиве поруке без одељка за питање, са QR кодом који указује на одговор или са бесмисленим комбинацијама кодова.
• 413 Корисни терет превелик: Тело POST RFC 8484 захтева прелази максималну величину поруке од 512 бајтова.
• 414 URI је предугачак: Заглавље GET упита је било превелико или је dns параметар премашио 512 бајтова.
• 415 Неподржани тип медија: Тело POST поруке није имало заглавље типа садржаја application/dns-message.
• 429 Превише захтева: Превише захтева је послато у датом периоду. Клијент мора да сачека време наведено у заглављу „Retry-After“.
• Интерна грешка сервера КСНУМКС: Интерне грешке у DoH сервису.
• КСНУМКС није имплементиран: Само GET и POST су имплементирани; остали враћају ову грешку.
• КСНУМКС Бад Гатеваи: DoH сервис није могао да комуницира са Google Public DNS разрешивачима. Покушај са другом адресом би могао да функционише, али ефикаснији резервни план је да испробате други DoH сервис или да пређете на традиционални DNS користећи UDP или TCP на адреси 8.8.8.8.

Најбоље праксе за приватност и перформансе

Програмери DoH апликација требало би да ограниче HTTP заглавља. Заглавља као што су Cookie, User-Agent и Accept-Language могу открити информације о имплементацији клијента и допринети деанонимизацији . Препоручује се слање само заглавља неопходних за DoH: Host, Content-Type (за POST захтеве) и, ако је потребно, Accept. Заглавље User-Agent требало би да буде укључено у развојне или тест верзије. Такође је препоручљиво користити EDNS опције за допуњавање како би се скратили упити на уобичајене дужине и отежала анализа саобраћаја. HTTP/2 допуњавање је могуће, али за разлику од EDNS допуњавања, не генерише допуњавање у DoH одговорима сервера.

POST метод у RFC 8484 треба користити само у апликацијама или режимима прегледача који вреднују приватност. Коришћење POST-а смањује капацитет кеша и може повећати латенцију, тако да се генерално не препоручује . Међутим, смањење величине кеша може бити препоручљиво за апликације које желе да спрече нападе синхронизације веб апликација усмерене на откривање домена које је корисник недавно посетио. HTTPS приступ такође има практичне предности: HTTPS API-ји су широко доступни и подржани, што поједностављује имплементацију; HTTPS услуга даје веб апликацијама приступ свим врстама DNS записа, избегавајући ограничења API-ја прегледача или оперативног система који су обично ограничени на претраге хост-то-адреса; а клијенти који имплементирају HTTPS преко UDP-а са QUIC-ом могу избећи проблеме попут блокирања заглавља реда који се јављају код TCP-а. Ако наиђете на грешку или желите да захтевате нову функцију, требало би да пријавите проблем везан за DoH путем уобичајених канала.

Честа питања о DoH и VPN-у

Једно од најчешће постављаних питања је да ли има смисла користити DoH када већ користите VPN. Могуће је, али најпрактичнији приступ је обично да се VPN-у дозволи да обрађује DNS и да се тестом цурења провери да ли упити иду кроз исправне канале. Ако прегледач шаље своје упите на један начин, а VPN на други, могли бисте бити непријатно изненађени.

Још једно често питање је да ли DoH спречава вашег интернет провајдера да види које веб странице посећујете. DoH скрива DNS упите од многих посматрача, али не уклања све метаподатке нити скрива вашу IP адресу : ваш интернет провајдер и даље може да види на које IP адресе се повезујете и друге мрежне информације. За ширу заштиту, потребна вам је VPN или комбинација више слојева приватности.

Такође је вредно питати се да ли је DomainHost (DoH) довољан на јавним Wi-Fi мрежама. Може помоћи у спречавању мрежног оператера да лако чита ваше DNS упите, али не штити целу везу или саобраћај свих апликација . На аеродромима, хотелима и кафићима, коришћење VPN-а је обично свеобухватније, посебно ако не знате ко контролише рутер или да ли су други људи повезани.

Систем имена домена (DoH) и VPN-ови нису директни ривали, већ алати са различитим могућностима. DoH шифрује претрагу домена и смањује изложеност тог дела процеса; VPN шифрује путању између вашег уређаја и сервера и мења IP адресу коју виде одредишта . Ниједно вас не чини невидљивим: налози, колачићи, отисци прстију прегледача, дозволе апликација, злонамерни софтвер и сви подаци које директно делите и даље могу да вас идентификују. Али то их не чини бескорисним. То једноставно значи да свако има своју улогу. DoH штити претрагу адресе; VPN штити много већи део путање којом се ваши подаци крећу.