DNS over TLS (DoT): Hold domeneoppslagene dine private

Hver gang du skriver inn en nettadresse i nettleseren din, sender enheten din en DNS-spørring – i praksis spør den en server: «Hva er IP-adressen til dette domenet?» Tradisjonelt reiser disse spørringene over internett i klartekst, noe som betyr at internettleverandøren din, nettverksadministratorer eller hvem som helst som overvåker tilkoblingen din, kan se nøyaktig hvilke nettsteder du forsøker å besøke. DNS over TLS, vanligvis forkortet som DoT, ble utviklet for å løse dette problemet.

Hva det er

DNS over TLS er en nettverksprotokoll som pakker DNS-spørringene dine inn i en TLS-kryptert (Transport Layer Security) forbindelse – den samme teknologien som beskytter banknettsiden din eller e-postinnloggingen din. I stedet for å sende disse «hvor er dette nettstedet?»-forespørslene åpent, sikrer DoT at de er kryptert før de forlater enheten din. Protokollen ble formelt standardisert i 2016 under RFC 7858 og har siden blitt tatt i bruk av store DNS-resolvere, inkludert Cloudflare (1.1.1.1), Google (8.8.8.8) og andre.

Hvordan det fungerer

Normalt kjører DNS-trafikk over port 53 og bruker UDP eller TCP uten kryptering. DoT endrer dette ved å opprette en dedikert TLS-forbindelse over port 853. Her er den grunnleggende flyten:

  1. Enheten din (eller DNS-resolveren) starter et TLS-håndtrykk med DNS-serveren og verifiserer identiteten ved hjelp av digitale sertifikater.
  2. Når den krypterte tunnelen er etablert, reiser DNS-spørringen din gjennom den – fullstendig skjult for utenforstående.
  3. DNS-serveren behandler forespørselen og sender svaret tilbake gjennom den samme krypterte kanalen.
  4. Enheten din bruker den returnerte IP-adressen til å koble til nettstedet.

Fordi DoT opererer på en dedikert port (853), kan nettverksadministratorer og brannmurer enkelt identifisere og – om de ønsker – blokkere DoT-trafikk. Dette er én viktig forskjell fra den nære fetteret DNS over HTTPS (DoH), som blander DNS-trafikk med vanlig netttrafikk på port 443 og er vanskeligere å blokkere.

Hvorfor det er viktig for VPN-brukere

Du lurer kanskje på – hvis jeg allerede bruker en VPN, trenger jeg å bekymre meg for DoT? Det er et godt spørsmål. En VPN krypterer all trafikken din, inkludert DNS-spørringer, når den er riktig konfigurert. Det finnes likevel noen viktige nyanser:

  • DNS-lekkasjer: Hvis VPN-klienten din ikke er riktig konfigurert, kan DNS-forespørsler noen ganger omgå den krypterte VPN-tunnelen og gå direkte til internettleverandørens resolver i klartekst. En DNS-lekkasje kan avsløre nettaktiviteten din selv når du tror du er beskyttet. DoT gir et ekstra krypteringslag som bidrar til å beskytte mot dette.
  • Miljøer uten VPN: Ikke alle bruker VPN til enhver tid. På åpne Wi-Fi-nettverk, på jobb eller på mobildata beskytter DoT DNS-spørringene dine uavhengig av en VPN.
  • Overvåking og struping fra internettleverandør: Uten kryptert DNS kan internettleverandøren din logge hvert domene du besøker og potensielt selge disse metadata eller bruke dem til å strupe spesifikke tjenester. DoT hindrer dem i å lese disse spørringene.

Praktiske eksempler og bruksområder

Hjemmenettverkssikkerhet: Ved å konfigurere ruteren eller den lokale DNS-resolveren til å bruke DoT (og peke til en personvernfokusert resolver som Cloudflare eller Quad9), drar alle enheter på nettverket nytte av krypterte DNS-oppslag – uten å installere noe ekstra på hver enkelt enhet.

Mobilpersonvern: Android 9 og nyere inkluderer en innebygd «Privat DNS»-funksjon som støtter DoT direkte. Du kan aktivere den i innstillingene og rute alle DNS-spørringer gjennom en kryptert resolver uten noen tredjepartsapp.

Bedriftsnettverk: IT-team bruker DoT for å hindre ansatte eller angripere på nettverket i å avlytte interne DNS-spørringer, noe som reduserer risikoen for DNS-forfalskning eller mann-i-midten-angrep.

Journalister og aktivister: I regioner med omfattende internettovervåking gir kryptering av DNS-spørringer et meningsfullt personvernlag, og gjør det vanskeligere for overvåkingssystemer å danne seg et bilde av nettadferd basert på DNS-trafikk alene.

DoT er ikke en komplett personvernløsning i seg selv – selve netttrafikken din trenger fortsatt HTTPS eller en VPN for full beskyttelse – men det tetter et hyppig oversett hull i den daglige internettsikkerheten.