DNS over TLS (DoT): Tartsd titokban a doménnév-lekérdezéseidet

Minden alkalommal, amikor beírsz egy webcímet a böngésződbe, az eszközöd egy DNS-lekérdezést küld – lényegében azt kérdezi egy szervertől: „Mi az IP-cím ehhez a doménhez?" Hagyományosan ezek a lekérdezések titkosítatlan, sima szövegként utaznak az interneten, ami azt jelenti, hogy az internetszolgáltatód, a hálózati adminisztrátorok vagy bárki, aki figyeli a kapcsolatodat, pontosan láthatja, mely weboldalakat próbálod elérni. A DNS over TLS-t, amelyet általában DoT-ként rövidítenek, éppen ennek a problémának a megoldására tervezték.

Mi is ez?

A DNS over TLS egy hálózati protokoll, amely TLS (Transport Layer Security) titkosított kapcsolatba csomagolja a DNS-lekérdezéseidet – ugyanabba a technológiába, amely a banki weboldalaidat vagy az e-mail bejelentkezéseidet védi. Ahelyett, hogy ezeket a „hol található ez a weboldal?" kéréseket nyíltan küldenéd ki, a DoT gondoskodik arról, hogy azok még az eszközöd elhagyása előtt titkosítva legyenek. A protokollt 2016-ban formálisan szabványosították az RFC 7858 keretében, és azóta számos nagyobb DNS-feloldó bevezette, köztük a Cloudflare (1.1.1.1), a Google (8.8.8.8) és mások.

Hogyan működik?

Normál esetben a DNS-forgalom az 53-as porton fut, és titkosítás nélküli UDP- vagy TCP-protokollt használ. A DoT ezt úgy változtatja meg, hogy egy dedikált TLS-kapcsolatot épít fel a 853-as porton. Az alapvető folyamat a következő:

  1. Az eszközöd (vagy DNS-feloldód) TLS-kézfogást kezdeményez a DNS-szerverrel, digitális tanúsítványok segítségével ellenőrizve annak azonosságát.
  2. Amint a titkosított alagút felépült, a DNS-lekérdezésed azon keresztül utazik – teljesen rejtve a külső megfigyelők elől.
  3. A DNS-szerver feldolgozza a kérést, és a választ ugyanazon a titkosított csatornán küldi vissza.
  4. Az eszközöd a visszakapott IP-cím segítségével csatlakozik a weboldalhoz.

Mivel a DoT egy dedikált porton (853) működik, a hálózati adminisztrátorok és a tűzfalak könnyen azonosíthatják, és szükség esetén blokkolhatják a DoT-forgalmat. Ez az egyik legfontosabb különbség a közeli rokonához, a DNS over HTTPS (DoH) protokollhoz képest, amely a DNS-forgalmat a 443-as porton a hagyományos webes forgalommal keveri össze, így nehezebb blokkolni.

Miért fontos ez a VPN-felhasználóknak?

Felmerülhet a kérdés: ha már használok VPN-t, kell-e egyáltalán törődnöm a DoT-tal? Jogos felvetés. A VPN titkosítja az összes forgalmadat, beleértve a DNS-lekérdezéseket is, ha megfelelően van konfigurálva. Azonban van néhány fontos árnyalat:

  • DNS-szivárgás: Ha a VPN-kliensed nincs megfelelően beállítva, a DNS-kérések néha megkerülhetik a titkosított VPN-alagutat, és közvetlenül az internetszolgáltatód feloldójához juthatnak el titkosítatlanul. Egy DNS-szivárgás felfedheti a böngészési tevékenységedet még akkor is, ha azt hiszed, hogy védve vagy. A DoT egy további titkosítási réteget biztosít, amely segít megelőzni ezt.
  • VPN nélküli környezetek: Nem mindenki használ állandóan VPN-t. Nyílt Wi-Fi hálózatokon, munkahelyen vagy mobiladat-kapcsolat esetén a DoT a VPN-től függetlenül védi a DNS-lekérdezéseidet.
  • Internetszolgáltatói megfigyelés és sávszélesség-korlátozás: Titkosítatlan DNS nélkül az internetszolgáltatód naplózhatja az összes meglátogatott domént, és potenciálisan eladhatja ezeket a metaadatokat, vagy felhasználhatja egyes szolgáltatások korlátozására. A DoT megakadályozza, hogy ezeket a lekérdezéseket elolvassák.

Gyakorlati példák és felhasználási esetek

Otthoni hálózati biztonság: Ha a routeredet vagy a helyi DNS-feloldódat DoT használatára konfigurálod (egy adatvédelemre összpontosító feloldóra mutatva, mint a Cloudflare vagy a Quad9), a hálózatod összes eszköze profitál a titkosított DNS-feloldásból – anélkül, hogy minden egyes eszközre külön telepíteni kellene bármit.

Mobilos adatvédelem: Az Android 9 és újabb verziói beépített „Privát DNS" funkcióval rendelkeznek, amely natívan támogatja a DoT-ot. Bekapcsolhatod a beállításokban, és az összes DNS-lekérdezést titkosított feloldón keresztül irányíthatod – harmadik féltől származó alkalmazás nélkül.

Vállalati hálózatok: Az informatikai csapatok a DoT-ot arra használják, hogy megakadályozzák az alkalmazottak vagy a hálózaton lévő támadók számára a belső DNS-lekérdezések lehallgatását, csökkentve a DNS-hamisítás vagy a közbeékelődéses (man-in-the-middle) támadások kockázatát.

Újságírók és aktivisták: Az erős internetfelügyelettel rendelkező régiókban a DNS-lekérdezések titkosítása egy érdemi adatvédelmi réteget ad hozzá, megnehezítve a megfigyelőrendszerek számára, hogy csupán a DNS-forgalom alapján képet alkossanak az online viselkedésről.

A DoT önmagában nem teljes körű adatvédelmi megoldás – a tényleges webes forgalomhoz a teljes védelem érdekében még mindig szükség van HTTPS-re vagy VPN-re –, de bezár egy mindennapos internetes biztonságban gyakran figyelmen kívül hagyott rést.