Šifrované DNS: DNS over HTTPS (DoH) a DoT krok za krokom

Skôr než sa prehliadač pripojí na stránku, musí zistiť jej IP adresu. Robí to cez systém DNS, ktorý funguje ako telefónny zoznam internetu. Pôvodný protokol vznikol v dobe, keď sa súkromie neriešilo, a dotazy preto putujú sieťou v čitateľnej podobe. Šifrované varianty DNS over HTTPS (DoH) a DNS over TLS (DoT) to menia. Pri základných pojmoch pomôže slovník.

Prečo je klasické DNS problém

Klasický dotaz posiela zariadenie spravidla na port 53 bez šifrovania. Každý, kto je na trase, teda poskytovateľ pripojenia, prevádzkovateľ verejnej Wi-Fi alebo útočník v sieti, vidí zoznam domén, ktoré sa pýtate. Obsah stránok vidieť nie je, ale samotný zoznam navštívených domén je citlivý údaj.

Dotazy sa dajú aj podvrhnúť. Útočník môže vrátiť falošnú odpoveď a presmerovať vás na podvodnú stránku. Proti tomu síce existuje rozšírenie DNSSEC, ktoré odpovede podpisuje, ale nešifruje ich a nasadené nie je všade.

DoH a DoT: v čom sa líšia

DNS cez TLS (DoT) posiela dotazy v šifrovanom spojení na vyhradenom porte, štandardne 853. Je to jednoduché na správu v sieti, pretože prevádzku je možné ľahko rozpoznať a prípadne riadiť. DNS cez HTTPS (DoH) balí dotazy do bežnej webovej prevádzky na porte 443, takže sa od ostatného HTTPS ťažko odlišuje.

Oba protokoly zabezpečujú dôvernosť a integritu cesty medzi vami a resolverom. Nechránia pred samotným resolverom: ten vidí všetky vaše dotazy. Voľba poskytovateľa DNS je preto otázkou dôvery a jeho pravidiel o zaznamenávaní údajov, ktoré treba prečítať.

Ako to nastaviť

Najjednoduchšie je zapnúť šifrované DNS v prehliadači, kde sa nastavenie nachádza v sekcii súkromia a zabezpečenia. Prehliadač potom používa vybraný resolver, no ostatné aplikácie v počítači ďalej používajú systémové nastavenie. Moderné operačné systémy ponúkajú podporu šifrovaného DNS priamo v sieťových nastaveniach, čo pokryje viac aplikácií naraz.

Pri väčšom počte zariadení má zmysel nastaviť šifrované DNS na smerovači, ak to jeho firmvér podporuje. Po zmene si vyskúšajte, či sa stránky načítavajú a či nenastali problémy so zariadeniami v domácej sieti, ktoré spoliehajú na lokálne názvy. Viac o systémových nastaveniach nájdete v kategórii operačné systémy.

Čo šifrované DNS nerieši

Aj po zapnutí DoH alebo DoT môže ostať viditeľný názov servera, ku ktorému sa pripájate, a to v úvodnej fáze šifrovaného spojenia (SNI). Existuje rozšírenie ECH, ktoré to má obmedziť, no jeho podpora nie je všade. Poskytovateľ pripojenia tiež vidí cieľové IP adresy, z ktorých sa často dá stránka odhadnúť.

Šifrované DNS je preto užitočná vrstva, nie náhrada za VPN. Zmysel má najmä na nedôveryhodných sieťach a ako ochrana pred jednoduchým podvrhovaním odpovedí. Pre vyššiu úroveň anonymity sú vhodnejšie iné nástroje, napríklad Tor.

Voľba resolvera a kontrola funkčnosti

Resolver je server, ktorý za vás vybavuje DNS dotazy. Predvolene používate resolver svojho poskytovateľa pripojenia, no môžete zvoliť iný. Pri výbere sa pozerajte na zásady spracúvania údajov, na to, či prevádzkovateľ zverejňuje, ako dlho záznamy uchováva, a na jurisdikciu, ktorej podlieha. Žiadny resolver nie je neutrálny, ide o to, komu chcete dôverovať.

Po zapnutí šifrovaného DNS si overte, že nastavenie skutočne funguje. Mnohé testovacie stránky ukážu, ktorý resolver práve používate a či sú dotazy šifrované. Ak sa po zmene stránky nenačítavajú, skúste dočasne prepnúť späť na predvolené nastavenie a príčinu hľadať v konfigurácii siete alebo v programoch, ktoré si DNS nastavenie riadia samy.