Nevěděl jsem, že můj poskytovatel internetu může vidět všechny weby, které navštívím, dokud jsem tuto nastavení nezkontroloval

Minulý týden jsem volal svému poskytovateli internetu ohledně nestabilního optického připojení, a uprostřed hovoru mi zástupce jen tak mimochodem přečetl výrobce mého routeru, verzi firmwaru a oba názvy mých Wi-Fi sítí. Nic z toho jsem jim neřekl. Chvíli jsem jen seděl a přemýšlel, jak to mohli vědět, a pak přišla nepříjemná následná otázka: pokud to vidí, co ještě vidí? Jak hluboko do mé sítě jejich pohled vlastně sahá?

To mě zaujalo, a po menším pátrání se ukázalo, že detaily routeru jsou tím nejméně zajímavým, protože každá jediná stránka, kterou navštívím, prochází přes DNS resolver mého poskytovatele internetu v prostém textu. Každé vyhledávání, každá doména, je označena mojí IP a časovou značkou. Předpokládal jsem, že mě HTTPS chrání. Nechrání. A řešení se ukázalo být jedním nastavením, na které jsem se nikdy na žádném z mých počítačů nepodíval.

Váš poskytovatel internetu může ve výchozím nastavení vidět všechny domény, které navštěvujete

Vrstva DNS je slabé místo ve vašem připojení

Pokaždé, když otevřu webovou stránku nebo spustím aplikaci, musí můj telefon nebo počítač přeložit doménové jméno, například youtube.com, na IP adresu. Tento překlad je DNS dotaz a ve výchozím nastavení jde přímo k resolveru mého poskytovatele internetových služeb bez šifrování. Vidí časové razítko, moji veřejnou IP adresu a přesné hostname. Uděláte-li to několik tisíckrát denně na každém zařízení v domácnosti, získáte podrobný přehled.

Co je zajímavé, je, kolik toho tento záznam odhalí, aniž by se dotkl jediné stránky obsahu. Mezery a špičky v DNS provozu mapují, kdy vstávám, kdy spím a kdy opouštím dům. Domény naznačují moji banku, mé streamovací služby, zdravotní stránky, které jsem navštívil, a každé chytré zařízení v mé síti, které se připojuje domů. Nejedná se jen o historii prohlížeče, ale o každou aplikaci na každém zařízení, zachycenou centrálně, a většina lidí se nikdy nedotkne výchozího DNS, které poskytuje jejich router.

HTTPS šifruje stránku, ne vyhledávání

Proč zámek ve vašem prohlížeči není celým příběhem

Většina lidí si myslí, že ikona zámku na vašem prohlížeči znamená konec diskuse. Pokud se stránka načítá přes HTTPS, obsah je šifrovaný, takže poskytovatel internetu nemůže číst stránku, na které se nacházíte, ani formulář, který vyplňujete. To je stále pravda. Co je také pravda, je, že vyhledávání DNS probíhá před tím, než šifrované spojení vůbec začne.

Takže zatímco můj poskytovatel internetu nemůže vidět, jaké konkrétní video jsem sledoval nebo jaký článek jsem četl, rozhodně může vidět, že jsem kontaktoval YouTube, konkrétní zpravodajský web nebo zdroj duševního zdraví. Název hostitele se také obvykle odhaluje při TLS handshake pomocí pole nazvaného SNI, pokud můj prohlížeč i webová stránka nepodporují novější funkci nazvanou Encrypted ClientHello. Většina ji zatím nepodporuje.

Konečný výsledek je takový, že samo HTTPS mi poskytuje soukromí obsahu, ale ne soukromí metadat. Můj poskytovatel internetu nemusí číst stránku, aby si vytvořil profil mé rutiny a zájmů, protože domény už prozrazují dostatek informací.

Šifrovaný resolver s filtrováním řeší oba problémy

Vyměňte resolver a poskytovatel internetu zhasne

Řešením je přestat úplně používat DNS mého poskytovatele internetu a směrovat dotazy přes šifrovaný resolver, který také filtruje nevyžádaný obsah. Jakmile jsou dotazy šifrovány pomocí DNS-over-TLS nebo DNS-over-HTTPS, můj poskytovatel internetu vidí nečitelný proud dat k resolveru místo čitelného seznamu domén. Filtrace na vrcholu toho blokuje reklamní servery, sledovače a známé škodlivé domény dříve, než se mé zařízení vůbec připojí.

Nejjednodušší cesta je nastavení na jednotlivém zařízení. Na Androidu jsem změnil své Private DNS na dns.nextdns.io v Nastavení > Síť a internet > Soukromé DNS, což mi umožnilo přesně vybrat, co se bude blokovat přes ovládací panel. Na Windows jsem nasměroval svůj adaptér na Quad9 (9.9.9.9) po porovnání jeho rychlosti s DNS mého poskytovatele a zjistil, že je rychlejší a bezpečnější.

Teď, pokud chcete pokrytí celého domu, jednodušší možností je změnit DNS na úrovni routeru, takže každé zařízení, včetně chytrých televizí a IoT zařízení, jej automaticky zdědí. Pro tento účel můžete zvolit možnost jako NextDNS, která poskytuje detailní kontrolu a rodičovské filtrování, což většina bezplatných resolverů nenabízí, a bezplatná úroveň pokrývá běžnou domácnost.

Filtrování DNS má skutečné limity

Co nemůže zablokovat a kde selhává

Nechci to přehánět. Filtrace DNS je obrovské vylepšení, ale stále má svá omezení.

Největší mezerou jsou reklamy ve stejné doméně. YouTube, Twitch, Netflix, Hulu a TikTok všechny zobrazují své reklamy ze stejné domény jako obsah. Filtr nemůže reklamu zablokovat, aniž by narušil celou službu, takže reklamy v průběhu přehrávání proplouvají přímo. Blokátory reklam založené na prohlížeči jsou pro tento typ provozu stále důležité.

Některá zařízení také ignorují jakékoli nastavení DNS. Například Chromecast, Android TV boxy a některé chytré televizory mají pevně zabudované DNS od Googlu nebo Cloudflare a tiše obcházejí nastavení mého routeru. Jediným spolehlivým řešením je blokovat tyto pevně zabudované IP adresy na firewallu, což většina spotřebitelských routerů nedělá snadné.

Konečně, šifrovaný DNS není VPN. I když jsou vyhledávání skryta, můj poskytovatel internetu stále může vidět cílové IP adresy, na které se moje zařízení připojují, a ve většině případů SNI hostname při handshake. Pro úplné soukromí metadat bych potřeboval VPN nebo Tor navíc. DNS filtrování jen zavírá největší a nejjednodušší únik.

Váš poskytovatel internetu nemusí znát vaše návyky při procházení webu

Můj současný setup je NextDNS na routeru pro celou domácnost a navíc Quad9 na zařízeních, která se mnou cestují. Tato kombinace poskytuje filtrování na každém zařízení doma, zálohu zaměřenou na ochranu soukromí, když jsem na mobilních datech, a prakticky nulovou průběžnou údržbu. Je to nejbližší věc k nastavení a zapomenutí, co se týče vylepšení ochrany soukromí, kterou jsem našel.