DNS over HTTPS (DoH): Τι Είναι και Γιατί Έχει Σημασία

Κάθε φορά που πληκτρολογείτε μια διεύθυνση ιστότοπου στον περιηγητή σας, η συσκευή σας στέλνει ένα ερώτημα: «Ποια είναι η διεύθυνση IP αυτού του domain;» Αυτό το ερώτημα ονομάζεται DNS query και για δεκαετίες ταξίδευε στο διαδίκτυο ως απλό κείμενο — εντελώς εκτεθειμένο σε οποιονδήποτε παρακολουθούσε το δίκτυο. Το DNS over HTTPS (DoH) δημιουργήθηκε για να λύσει αυτό το πρόβλημα.

Τι Είναι

Το DNS over HTTPS είναι ένα πρωτόκολλο που ενσωματώνει τα DNS queries σας μέσα σε κρυπτογραφημένη κίνηση HTTPS — τον ίδιο τύπο κρυπτογράφησης που χρησιμοποιείται όταν συνδέεστε στην τράπεζά σας ή κάνετε αγορές online. Αντί τα DNS αιτήματά σας να αποστέλλονται ανοιχτά, ομαδοποιούνται μέσα σε ασφαλείς συνδέσεις HTTPS και αποστέλλονται σε έναν DNS resolver συμβατό με DoH. Για εξωτερικούς παρατηρητές, η κίνηση μοιάζει με συνηθισμένη περιήγηση στο διαδίκτυο.

Το DoH τυποποιήθηκε από τον Internet Engineering Task Force (IETF) στο RFC 8484 το 2018 και έκτοτε έχει ενσωματωθεί σε κύριους περιηγητές όπως ο Firefox, ο Chrome και ο Edge, καθώς και σε λειτουργικά συστήματα όπως τα Windows 11 και Android.

Πώς Λειτουργεί

Ακολουθεί η βασική ροή:

  1. Πληκτρολογείτε `example.com` στον περιηγητή σας.
  2. Αντί να αποστέλλεται ένα plaintext UDP αίτημα στον DNS server του ISP σας μέσω της θύρας 53, η συσκευή σας στέλνει ένα κρυπτογραφημένο HTTPS αίτημα σε έναν DoH resolver (όπως το `1.1.1.1` της Cloudflare ή το `8.8.8.8` της Google) μέσω της θύρας 443.
  3. Ο resolver εντοπίζει τη διεύθυνση IP και επιστρέφει την απάντηση — εξακολουθώντας να είναι κρυπτογραφημένη μέσω HTTPS.
  4. Ο περιηγητής σας συνδέεται στον ιστότοπο.

Επειδή το ερώτημα χρησιμοποιεί τη θύρα 443 (η τυπική θύρα HTTPS), αναμειγνύεται με την κανονική κίνηση του διαδικτύου. Ένας παθητικός παρατηρητής στο δίκτυό σας — είτε πρόκειται για τον ISP σας, έναν διαχειριστή δικτύου ή κάποιον που εκτελεί ένα παραπλανητικό Wi-Fi hotspot — δεν μπορεί εύκολα να διακρίνει τα DNS lookups σας από οποιαδήποτε άλλη κίνηση HTTPS.

Γιατί Έχει Σημασία για τους Χρήστες VPN

Ίσως αναρωτιέστε: αν χρησιμοποιώ ήδη VPN, χρειάζομαι το DoH; Είναι εύλογη ερώτηση και η απάντηση εξαρτάται από τη ρύθμισή σας.

Χωρίς VPN, το DoH αποτελεί σημαντική βελτίωση της ιδιωτικότητας. Ο ISP σας δεν μπορεί πλέον εύκολα να καταγράφει κάθε domain που επισκέπτεστε. Αυτό είναι ιδιαίτερα σημαντικό δεδομένου ότι οι ISP σε πολλές χώρες επιτρέπεται — ή ακόμα και υποχρεούνται — να συλλέγουν και να πωλούν δεδομένα περιήγησης.

Με VPN, τα DNS queries σας θα πρέπει ήδη να δρομολογούνται μέσα από το VPN tunnel και να επιλύονται από τους DNS servers του παρόχου VPN. Ωστόσο, αν η σύνδεση VPN διακοπεί ή έχει ρυθμιστεί εσφαλμένα, μπορεί να εμφανιστεί DNS leak — η συσκευή σας επιστρέφει στην αποστολή DNS queries εκτός του tunnel, εκθέτοντας τη δραστηριότητά σας. Η χρήση DoH παράλληλα με VPN (ή η επιλογή VPN που υλοποιεί DoH εσωτερικά) προσθέτει ένα επιπλέον επίπεδο προστασίας έναντι αυτών των διαρροών.

Αξίζει επίσης να σημειωθεί ότι το DoH από μόνο του δεν αντικαθιστά ένα VPN. Το DoH κρυπτογραφεί μόνο τη φάση αναζήτησης του domain. Η πραγματική διεύθυνση IP σας παραμένει ορατή στους ιστότοπους που επισκέπτεστε και ο ISP σας μπορεί ακόμα να βλέπει σε ποιες διευθύνσεις IP συνδέεστε — απλώς όχι απαραίτητα ποια domain names προκάλεσαν αυτές τις συνδέσεις.

Πρακτικά Παραδείγματα και Περιπτώσεις Χρήσης

  • Δημόσιο Wi-Fi: Όταν συνδέεστε σε ένα δίκτυο καφετέριας ή αεροδρομίου, το DoH εμποδίζει τον χειριστή του δικτύου να καταγράφει τα DNS queries σας ή να τα ανακατευθύνει σε παραποιημένο server.
  • Παράκαμψη βασικής λογοκρισίας: Ορισμένοι ISP αποκλείουν ιστότοπους παρεμβαίνοντας στα DNS queries. Το DoH μπορεί να παρακάμψει αποκλεισμούς σε επίπεδο DNS, επειδή τα ερωτήματα είναι κρυπτογραφημένα και αποστέλλονται σε εξωτερικό resolver. (Σημείωση: αποφασιστικοί λογοκριτές μπορούν ωστόσο να αποκλείσουν τους DoH resolvers μέσω IP.)
  • Προστασία σε επίπεδο περιηγητή: Ο Firefox και ο Chrome σάς επιτρέπουν να ενεργοποιήσετε το DoH απευθείας στις ρυθμίσεις, παρέχοντας κρυπτογραφημένο DNS ακόμα και όταν δεν χρησιμοποιείτε VPN.
  • Εταιρικά περιβάλλοντα: Οι διαχειριστές δικτύου συχνά συζητούν για το DoH, καθώς μπορεί να παρακάμψει τους εσωτερικούς ελέγχους DNS. Πολλοί οργανισμοί ρυθμίζουν το DoH ώστε να δρομολογείται μέσω εγκεκριμένων εσωτερικών resolvers αντί δημόσιων.

DoH εναντίον DoT

Το DoH συγκρίνεται συχνά με το DNS over TLS (DoT), ένα άλλο πρωτόκολλο κρυπτογράφησης DNS. Και τα δύο κρυπτογραφούν την κίνηση DNS, αλλά το DoT χρησιμοποιεί μια αποκλειστική θύρα (853) που είναι εύκολο για τους διαχειριστές δικτύου να εντοπίσουν και να φιλτράρουν. Το DoH αναμειγνύεται με την κανονική κίνηση HTTPS, καθιστώντας το πιο δύσκολο να αποκλειστεί — κάτι που αποτελεί ταυτόχρονα το πλεονέκτημά του για την ιδιωτικότητα και μια ανησυχία για τον έλεγχο του δικτύου.