DNS over HTTPS (DoH): czym jest i dlaczego ma znaczenie

Za każdym razem, gdy wpisujesz adres strony internetowej w przeglądarce, Twoje urządzenie wysyła zapytanie: „Jaki jest adres IP tej domeny?" Takie zapytanie nazywa się zapytaniem DNS i przez dziesięciolecia podróżowało przez internet jako zwykły tekst — całkowicie widoczne dla każdego, kto obserwował sieć. DNS over HTTPS (DoH) powstał właśnie po to, aby to naprawić.

Czym jest DoH

DNS over HTTPS to protokół, który opakowuje zapytania DNS w zaszyfrowany ruch HTTPS — ten sam rodzaj szyfrowania, który jest używany podczas logowania do banku lub robienia zakupów online. Zamiast być wysyłane w postaci jawnej, zapytania DNS są umieszczane w bezpiecznych połączeniach HTTPS i przesyłane do resolwera DNS zgodnego z DoH. Dla zewnętrznych obserwatorów ruch ten wygląda jak zwykłe przeglądanie sieci.

DoH został standaryzowany przez Internet Engineering Task Force (IETF) w dokumencie RFC 8484 w 2018 roku i od tamtej pory jest wbudowany w główne przeglądarki, takie jak Firefox, Chrome i Edge, a także w systemy operacyjne, takie jak Windows 11 i Android.

Jak to działa

Oto podstawowy schemat działania:

  1. Wpisujesz `example.com` w przeglądarce.
  2. Zamiast wysyłać niezaszyfrowane zapytanie UDP do serwera DNS Twojego dostawcy internetu na porcie 53, Twoje urządzenie wysyła zaszyfrowane zapytanie HTTPS do resolwera DoH (np. `1.1.1.1` firmy Cloudflare lub `8.8.8.8` firmy Google) na porcie 443.
  3. Resolwer wyszukuje adres IP i odsyła odpowiedź — nadal zaszyfrowaną przez HTTPS.
  4. Twoja przeglądarka łączy się ze stroną internetową.

Ponieważ zapytanie korzysta z portu 443 (standardowego portu HTTPS), wtapia się w normalny ruch internetowy. Pasywny obserwator w Twojej sieci — niezależnie od tego, czy jest to Twój dostawca internetu, administrator sieci, czy osoba obsługująca fałszywy hotspot Wi-Fi — nie jest w stanie łatwo odróżnić Twoich zapytań DNS od zwykłego ruchu HTTPS.

Dlaczego ma to znaczenie dla użytkowników VPN

Możesz się zastanawiać: skoro już korzystam z VPN, czy potrzebuję DoH? To uzasadnione pytanie, a odpowiedź zależy od Twojej konfiguracji.

Bez VPN DoH stanowi istotną poprawę w zakresie prywatności. Twój dostawca internetu nie może już łatwo rejestrować każdej odwiedzanej przez Ciebie domeny. Ma to szczególne znaczenie, biorąc pod uwagę, że w wielu krajach dostawcy internetu mają pozwolenie — a nawet obowiązek — zbierania i sprzedawania danych o przeglądaniu.

Z VPN Twoje zapytania DNS powinny być już kierowane przez tunel VPN i rozwiązywane przez własne serwery DNS dostawcy VPN. Jeśli jednak połączenie VPN zostanie przerwane lub błędnie skonfigurowane, może dojść do wycieku DNS — Twoje urządzenie zaczyna wysyłać zapytania DNS poza tunelem, ujawniając Twoją aktywność. Korzystanie z DoH w połączeniu z VPN (lub wybór VPN, który wewnętrznie wdraża DoH) dodaje dodatkową warstwę ochrony przed takimi wyciekami.

Warto również zaznaczyć, że DoH sam w sobie nie zastępuje VPN. DoH szyfruje wyłącznie fazę wyszukiwania domeny. Twój rzeczywisty adres IP pozostaje widoczny dla odwiedzanych stron internetowych, a Twój dostawca internetu nadal może śledzić, z jakimi adresami IP się łączysz — choć niekoniecznie, jakie nazwy domen wywołały te połączenia.

Praktyczne przykłady i przypadki użycia

  • Publiczne Wi-Fi: Po połączeniu się z siecią w kawiarni lub na lotnisku DoH uniemożliwia operatorowi sieci rejestrowanie zapytań DNS lub przekierowywanie ich do zmanipulowanego serwera.
  • Omijanie podstawowej cenzury: Niektórzy dostawcy internetu blokują strony internetowe, przechwytując zapytania DNS. DoH może ominąć blokady na poziomie DNS, ponieważ zapytania są szyfrowane i wysyłane do zewnętrznego resolwera. (Uwaga: zdeterminowani cenzorzy mogą nadal blokować resolwery DoH na podstawie ich adresów IP).
  • Ochrona na poziomie przeglądarki: Firefox i Chrome umożliwiają włączenie DoH bezpośrednio w ustawieniach, zapewniając zaszyfrowane DNS nawet wtedy, gdy nie korzystasz z VPN.
  • Środowiska korporacyjne: Administratorzy sieci często dyskutują o DoH, ponieważ może on omijać wewnętrzne kontrole DNS. Wiele organizacji konfiguruje DoH tak, aby ruch był kierowany przez zatwierdzone wewnętrzne resolwery zamiast publicznych.

DoH a DoT

DoH jest często porównywany z DNS over TLS (DoT) — innym protokołem szyfrowania DNS. Oba szyfrują ruch DNS, ale DoT korzysta z dedykowanego portu (853), który administratorzy sieci mogą łatwo zidentyfikować i filtrować. DoH wtapia się w zwykły ruch HTTPS, co utrudnia jego blokowanie — i jest to zarówno jego zaleta z punktu widzenia prywatności, jak i powód do obaw w kontekście kontroli sieci.