DNS przez HTTPS i TLS: Konfiguracja w każdej przeglądarce i systemie operacyjnym

Zanim Twoja przeglądarka załadowała stronę, prosi resolver DNS o przekształcenie domeny takiej jak example.com w adres IP. Tradycyjnie to zapytanie podróżuje w czystym tekście, więc Twój dostawca usług internetowych, operator sieci lub ktokolwiek podsłuchujący połączenie może odczytać każdą domenę, którą odwiedzasz — nawet gdy sama strona jest zabezpieczona protokołem HTTPS. DNS jest jednym z największych wycieków prywatności pozostałych w zwykłym przeglądaniu.

DNS przez HTTPS (DoH) i DNS przez TLS (DoT) naprawiają to, szyfrując zapytanie między Tobą a resolverem. Różnica praktyczna: DoH wysyła DNS w ramach normalnego HTTPS na porcie 443, więc wtopi się w ruch internetowy i jest trudny do zablokowania lub odróżnienia; DoT używa dedykowanego portu (853), co jest architektonicznie czystsze, ale łatwiejsze do zauważenia i zablokowania przez sieć. Przeglądarki preferują DoH; systemy operacyjne obsługują oba. Możesz przetestować, co widzi Twój resolver na narzędziu DNS.

Szyfrowane DNS ukrywa które domeny przeszukujesz przed swoim ISP i obserwatorami na trasie, oraz zapobiega manipulacjom opartym na DNS. To prawdziwe zwycięstwo w zakresie prywatności i integralności. Ale bądź świadomy jego ograniczeń: twój wybrany resolver nadal widzi twoje zapytania, więc przenosisz zaufanie z ISP na tego dostawcę — wybierz takiego z silną polityką prywatności. Nie ukrywa również docelowego adresu IP, do którego się łączysz, a TLS SNI nadal może ujawniać nazwę hosta, chyba że Encrypted Client Hello jest w użyciu.

Jak to się ma do VPN: prawidłowo skonfigurowany VPN już kieruje twój DNS przez własny resolver wewnątrz zaszyfrowanego tunelu, więc twój ISP nie widzi ani twojego DNS, ani twojego ruchu. Dlatego sprawdzanie pod kątem wycieku DNS ma znaczenie — jeśli zapytania wydostaną się z tunelu do resolvera twojego ISP, szyfrowanie reszty twojego ruchu jest podważane. DoH/DoT i VPN są komplementarne: szyfrowany DNS chroni zapytania w każdej sieci; VPN chroni całe połączenie i jego DNS razem.