Šifrované DNS: DNS over HTTPS (DoH) a DoT krok za krokem

Než se prohlížeč připojí ke stránce, musí zjistit její IP adresu. Dělá to přes systém DNS, který funguje jako telefonní seznam internetu. Původní protokol vznikl v době, kdy se soukromí neřešilo, a dotazy proto putují sítí v čitelné podobě. Šifrované varianty DNS over HTTPS (DoH) a DNS over TLS (DoT) to mění. Se základními pojmy pomůže slovník.

Proč je klasické DNS problém

Klasický dotaz posílá zařízení zpravidla na port 53 bez šifrování. Každý, kdo je na trase, tedy poskytovatel připojení, provozovatel veřejné Wi-Fi nebo útočník v síti, vidí seznam domén, na které se ptáte. Obsah stránek vidět není, ale samotný seznam navštívených domén je citlivý údaj.

Dotazy se dají i podvrhnout. Útočník může vrátit falešnou odpověď a přesměrovat vás na podvodnou stránku. Proti tomu sice existuje rozšíření DNSSEC, které odpovědi podepisuje, ale nešifruje je a nasazené není všude.

DoH a DoT: v čem se liší

DNS přes TLS (DoT) posílá dotazy v šifrovaném spojení na vyhrazeném portu, standardně 853. Je to snadné na správu v síti, protože provoz lze snadno rozpoznat a případně řídit. DNS přes HTTPS (DoH) balí dotazy do běžného webového provozu na portu 443, takže se od ostatního HTTPS těžko odlišuje.

Oba protokoly zajišťují důvěrnost a integritu cesty mezi vámi a resolverem. Nechrání před samotným resolverem: ten vidí všechny vaše dotazy. Volba poskytovatele DNS je proto otázkou důvěry a jeho pravidel pro zaznamenávání údajů, která je třeba si přečíst.

Jak to nastavit

Nejjednodušší je zapnout šifrované DNS v prohlížeči, kde se nastavení nachází v sekci soukromí a zabezpečení. Prohlížeč pak používá vybraný resolver, ostatní aplikace v počítači ale dál používají systémové nastavení. Moderní operační systémy nabízejí podporu šifrovaného DNS přímo v nastavení sítě, což pokryje více aplikací najednou.

Při větším počtu zařízení má smysl nastavit šifrované DNS na směrovači, pokud to jeho firmware podporuje. Po změně vyzkoušejte, zda se stránky načítají a zda nenastaly problémy se zařízeními v domácí síti, která spoléhají na lokální názvy. Více o systémových nastaveních najdete v kategorii operační systémy.

Co šifrované DNS neřeší

I po zapnutí DoH nebo DoT může zůstat viditelný název serveru, ke kterému se připojujete, a to v úvodní fázi šifrovaného spojení (SNI). Existuje rozšíření ECH, které to má omezit, jeho podpora však není všude. Poskytovatel připojení také vidí cílové IP adresy, ze kterých se často dá stránka odhadnout.

Šifrované DNS je proto užitečná vrstva, nikoli náhrada za VPN. Smysl má hlavně v nedůvěryhodných sítích a jako ochrana před jednoduchým podvrhováním odpovědí. Pro vyšší úroveň anonymity jsou vhodnější jiné nástroje, například Tor.

Volba resolveru a kontrola funkčnosti

Resolver je server, který za vás vyřizuje DNS dotazy. Ve výchozím stavu používáte resolver svého poskytovatele připojení, můžete však zvolit jiný. Při výběru se dívejte na zásady zpracování údajů, na to, zda provozovatel zveřejňuje, jak dlouho záznamy uchovává, a na jurisdikci, které podléhá. Žádný resolver není neutrální, jde o to, komu chcete důvěřovat.

Po zapnutí šifrovaného DNS si ověřte, že nastavení skutečně funguje. Mnoho testovacích stránek ukáže, který resolver právě používáte a zda jsou dotazy šifrované. Pokud se po změně stránky nenačítají, zkuste dočasně přepnout zpět na výchozí nastavení a příčinu hledat v konfiguraci sítě nebo v programech, které si nastavení DNS řídí samy.