„Soukromý DNS“ není tak soukromý, jak si myslíte

Zapnutí „soukromého DNS“ působí jako přepnutí spínače soukromí. Sami název zní, jako by šlo o řešení na jedno kliknutí, které udrží vaše prohlížecí návyky v soukromí, skryté před vaším poskytovatelem internetu, správcem sítě a kýmkoli dalším, kdo by mohl špehovat váš provoz.

Realita je složitější. Soukromé DNS sice zacelí jednu konkrétní díru, ale přesto zanechává překvapivé množství vašich aktivit odhalené způsoby, o kterých většina lidí nikdy nepřemýšlí. Do této problematiky jsem se ponořil více než jednou, a zde je, kde k únikům skutečně dochází.

Co vlastně „soukromé DNS“ dělá (a co nedělá)

Název přehání vlastnost o hodně

Soukromý DNS ve většině případů jednoduše znamená, že vaše zařízení používá DNS přes TLS (DoT) nebo DNS přes HTTPS (DoH) k komunikaci s resolverem jako je Cloudflare, Google nebo Quad9. Toto šifrování zabraňuje tomu, aby váš poskytovatel internetu nebo někdo na stejné Wi-Fi mohl číst obsah vašich DNS dotazů v prostém textu.

To je skutečné zlepšení oproti starému výchozímu nastavení, kde každé dotazování typu „jaká je IP adresa example.com?“ putovalo v otevřeném textu, který mohl kdokoli zkontrolovat. Ale marketingový jazyk kolem soukromého DNS to nechává znít, jako by to byla ochranná pláštěnka pro celé vaše připojení, a rozhodně to není. Šifruje pouze DNS dotazy, nikoli žádná jiná data, která vaše zařízení odesílá.

Pokud v nastavení Androidu zapnete "Soukromý DNS" a myslíte si, že jste nyní online neviditelní, budete zklamaní. Tato funkce má jen úzkou specializaci a mnoho identifikačních údajů se přenáší úplně jinými kanály.

DNS servery a jak internet nachází cestu
Trivia výzva

Od 8.8.8.8 až po to, jak váš prohlížeč najde videa s kočkami — zjistěte, kolik toho o DNS skutečně víte.

Za co zkratka DNS stojí?

Než byl vynalezen DNS, jak počítače řešily názvy hostitelů na raném internetu (ARPANET)?

Slavný DNS server na IP adrese 8.8.8.8 je provozován kterou společností?

DNS resolver společnosti Cloudflare na adrese 1.1.1.1 byl spuštěn v roce 2018 s důrazem na který prodejní bod?

Co je DNS 'resolver' (také nazývaný rekurzivní resolver)?

Jaký typ útoku zahrnuje otrávení DNS cache falešnými záznamy, aby byly uživatelé přesměrováni na škodlivé webové stránky?

Který typ záznamu DNS je zodpovědný za mapování doménového jména na IPv4 adresu?

DNS-over-HTTPS (DoH) a DNS-over-TLS (DoT) si oba kladou za cíl vyřešit stejný základní problém. Jaký je to problém?

Tvůj výsledek

Děkujeme za hraní!

Váš poskytovatel internetu stále může vědět, kam jdete

IP adresy a metadata SNI prozradí vše

Tady je část, která lidi překvapuje. I když je DNS šifrováno, váš poskytovatel internetu stále může vidět IP adresu každého serveru, ke kterému se připojujete. To samo o sobě často stačí na to, aby zjistili, které weby nebo služby používáte, zejména u hlavních platforem hostovaných na dedikované infrastruktuře.

Situace se zhoršuje. Když váš prohlížeč zahajuje HTTPS připojení, obvykle posílá název hostitele v prostém textu uvnitř něčeho, co se nazývá Server Name Indication (SNI). To znamená, že i když je váš DNS dotaz šifrovaný, velmi často další paket, který váš počítač odešle, obsahuje název domény čitelnou formou. Síťoví pozorovatelé mohou také z připojovacích vzorců, časování a dalších metadat odvodit, co navštěvujete.

Takže poskytovatel internetu nemůže číst vaše DNS dotazy, ale může sledovat, že se připojujete k určité IP adrese a často stále vidí název hostitele, který váš prohlížeč předává. Soukromé DNS se toho vůbec nedotýká. Závěr, na který výzkumníci stále narážejí, je, že DoT a DoH zlepšují vaši situaci ohledně soukromí, ale jen do omezené míry, a někdo, kdo sleduje váš provoz, si stále může udělat hrubý obrázek o vašich zvycích prohlížení.

Jen vyměňuješ jednoho pozorovatele za druhého

Váš poskytovatel DNS vidí všechno, co jste dříve předávali svému poskytovateli internetu

Když přepnete na soukromý DNS, vaše dotazy přestanou směřovat na resolver vašeho poskytovatele internetu a začnou jít k tomu, koho jste si místo něj vybrali. Obvykle je to Cloudflare, Google, Quad9 nebo cokoliv, co je nastaveno ve vašem telefonu jako výchozí. Ať už jsou šifrované nebo ne, tyto dotazy jsou stále plně viditelné pro resolver, který je zpracovává.

To je skutečný kompromis. Sáhnete na to, že vámi vybraný poskytovatel DNS má lepší zásady ochrany soukromí než váš poskytovatel internetu, což je často pravda, ale není to zaručené. Někteří poskytovatelé zaznamenávají dotazy, někteří zpeněžují data a někteří sídlí v jurisdikcích se svými vlastními pravidly o tom, co musí být poskytnuto na požádání. Soukromý DNS funguje jako nástroj ochrany soukromí jen tehdy, pokud skutečně důvěřujete resolveru na druhé straně, a průměrný uživatel nemá ponětí, který poskytovatel je jeho zařízení vůbec používá.

Je také třeba myslet na aspekt SSL certifikátu. Neplatné nebo pochybná certifikáty během TLS handshake mohou samy o sobě vytvářet rizika pro soukromí, protože handshake odhaluje informace o tom, s kým se připojujete, než šifrování plně začne.

Úniky DNS se mohou vyskytnout i když je zapnutá „soukromá DNS“

Ostatní aplikace, VPN a zvláštnosti Wi-Fi mohou obejít toto nastavení

Toto je únik, který lidi zaskočí. Můžete mít soukromé DNS nakonfigurované na úrovni systému a přesto mohou dotazy unikat jinými cestami. Některé aplikace používají své vlastní pevně zakódované DNS resolvery a zcela ignorují vaše systémová nastavení. Některé routery přesměrovávají veškerý DNS provoz na servery poskytovatele internetu bez ohledu na to, co vaše zařízení preferuje.

Když používáte VPN, mohli byste si myslet, že DNS je automaticky řešeno, ale špatně nakonfigurovaná VPN může umožnit DNS dotazům obejít tunel a směřovat přímo na resolver vašeho poskytovatele internetu, čímž se odhalí vaše skutečné umístění a aktivita při prohlížení. To je klasický scénář „úniku DNS“ a stává se častěji, než si lidé uvědomují.

Telefony připojené k Wi-Fi jsou zde obzvláště zranitelné. Výchozí DNS routeru je často to, co poskytl poskytovatel internetu, a v závislosti na tom, jak agresivně síť zachycuje DNS provoz, vaše šifrované dotazy nemusí skutečně opouštět síť tak, jak očekáváte. Oprava obvykle zahrnuje spuštění testu úniku DNS z nástroje, který kontroluje, kam vaše dotazy opravdu směřují, místo aby se důvěřovalo tomu, že přepínač ve vašem nastavení dělá svou práci.

Soukromý DNS stojí za použití, jen si to nepřeceňujte

Považujte to za jednu vrstvu, ne za úplné řešení

Nechci zanechat dojem, že soukromé DNS je zbytečné. Rozhodně je lepší než posílat každý dotaz v čistém textu, a zastavuje nejlínější formu sledování na úrovni sítě v zárodku. Pro lidi, kteří nepoužívají VPN, je přechod na důvěryhodného poskytovatele DoT nebo DoH jedním z nejjednodušších způsobů, jak zlepšit soukromí.

Trik spočívá v tom, neplést si to s něčím, čím to není. Ochrana soukromí online má vrstvy a žádný nástroj nepokrývá všechno. Pokud je vaším cílem skutečně skrýt své prohlížení před poskytovatelem internetových služeb, musíte minimálně myslet na provoz na úrovni IP, SNI, chování aplikací a důvěru vůči resolveru. To obvykle znamená kombinovat soukromý DNS s VPN, šifrovaný prohlížeč podporující SNI a sledování toho, které aplikace si dělají vlastní věci bez vašeho vědomí.

Soukromý DNS je začátek, ne cíl

Štítek „soukromý DNS“ zní nepropustně, ale tato funkce šifruje jen tenkou část toho, co vaše zařízení sděluje okolnímu světu. Váš poskytovatel internetu vás stále může profilovat pomocí IP adres a SNI, váš poskytovatel DNS vidí každý váš dotaz a různé aplikace a síťová nastavení mohou celý proces tiše obejít.

Pokud jste ten přepínač považovali za svou strategii ochrany soukromí, stojí za to vědět, co vlastně pokrývá. Používejte ho, jistě, ale spojte ho s celou zbytkovou sadou, pokud vám skutečně záleží na tom, kdo sleduje. Cokoli méně je spíše o pocitu klidu než o skutečném soukromí.