DNS over HTTPS (DoH): คืออะไร และทำไมจึงสำคัญ
ทุกครั้งที่คุณพิมพ์ที่อยู่เว็บไซต์ลงในเบราว์เซอร์ อุปกรณ์ของคุณจะส่งคำถามออกไปว่า "IP address ของโดเมนนี้คืออะไร?" คำถามนั้นเรียกว่า DNS query และมานานหลายทศวรรษแล้วที่มันเดินทางผ่านอินเทอร์เน็ตในรูปแบบข้อความธรรมดา ซึ่งเปิดเผยให้ทุกคนที่คอยดักฟังเครือข่ายมองเห็นได้อย่างสมบูรณ์ DNS over HTTPS (DoH) ถูกสร้างขึ้นมาเพื่อแก้ปัญหานี้
DoH คืออะไร
DNS over HTTPS คือโปรโตคอลที่ห่อหุ้ม DNS query ของคุณไว้ภายในการรับส่งข้อมูล HTTPS ที่เข้ารหัสแล้ว ซึ่งเป็นการเข้ารหัสประเภทเดียวกับที่ใช้เมื่อคุณล็อกอินเข้าธนาคารหรือช้อปปิ้งออนไลน์ แทนที่ DNS request ของคุณจะถูกส่งออกไปอย่างเปิดเผย มันจะถูกรวมไว้ในการเชื่อมต่อ HTTPS ที่ปลอดภัยและส่งไปยัง DNS resolver ที่รองรับ DoH สำหรับผู้สังเกตการณ์จากภายนอก การรับส่งข้อมูลดังกล่าวจะดูเหมือนการท่องเว็บทั่วไป
DoH ได้รับการกำหนดมาตรฐานโดย Internet Engineering Task Force (IETF) ใน RFC 8484 เมื่อปี 2018 และนับตั้งแต่นั้นก็ได้ถูกนำไปรวมไว้ในเบราว์เซอร์หลักอย่าง Firefox, Chrome และ Edge รวมถึงระบบปฏิบัติการอย่าง Windows 11 และ Android
DoH ทำงานอย่างไร
นี่คือขั้นตอนพื้นฐาน:
- คุณพิมพ์ `example.com` ลงในเบราว์เซอร์
- แทนที่จะส่ง UDP request แบบข้อความธรรมดาไปยัง DNS server ของ ISP คุณผ่านพอร์ต 53 อุปกรณ์ของคุณจะส่ง HTTPS request ที่เข้ารหัสแล้วไปยัง DoH resolver (เช่น `1.1.1.1` ของ Cloudflare หรือ `8.8.8.8` ของ Google) ผ่านพอร์ต 443
- Resolver ค้นหา IP address และส่งคำตอบกลับมา โดยยังคงเข้ารหัสผ่าน HTTPS
- เบราว์เซอร์ของคุณเชื่อมต่อกับเว็บไซต์
เนื่องจาก query ใช้พอร์ต 443 (พอร์ต HTTPS มาตรฐาน) มันจึงกลมกลืนไปกับการรับส่งข้อมูลเว็บปกติ ผู้สังเกตการณ์แบบ passive บนเครือข่ายของคุณ ไม่ว่าจะเป็น ISP ผู้ดูแลระบบเครือข่าย หรือผู้ที่เปิด Wi-Fi hotspot ปลอม ไม่สามารถแยกแยะ DNS lookup ของคุณออกจากการรับส่งข้อมูล HTTPS อื่น ๆ ได้อย่างง่ายดาย
ทำไม DoH จึงสำคัญสำหรับผู้ใช้ VPN
คุณอาจสงสัยว่า ถ้าฉันใช้ VPN อยู่แล้ว ฉันต้องการ DoH ด้วยหรือไม่? เป็นคำถามที่สมเหตุสมผล และคำตอบขึ้นอยู่กับการตั้งค่าของคุณ
เมื่อไม่ได้ใช้ VPN DoH เป็นการปรับปรุงความเป็นส่วนตัวที่สำคัญมาก ISP ของคุณไม่สามารถบันทึกทุกโดเมนที่คุณเยี่ยมชมได้อย่างง่ายดายอีกต่อไป ซึ่งมีความเกี่ยวข้องอย่างยิ่งเมื่อพิจารณาว่า ISP ในหลายประเทศได้รับอนุญาต หรือแม้กระทั่งถูกกำหนดให้ต้องเก็บรวบรวมและขายข้อมูลการท่องเว็บ
เมื่อใช้ VPN DNS query ของคุณควรถูกส่งผ่าน VPN tunnel และถูก resolve โดย DNS server ของผู้ให้บริการ VPN อยู่แล้ว อย่างไรก็ตาม หากการเชื่อมต่อ VPN ของคุณหลุดหรือตั้งค่าไม่ถูกต้อง อาจเกิด DNS leak ขึ้นได้ นั่นคืออุปกรณ์ของคุณจะหันไปส่ง DNS query นอก tunnel ซึ่งเปิดเผยกิจกรรมของคุณ การใช้ DoH ควบคู่กับ VPN (หรือเลือก VPN ที่ใช้ DoH ภายใน) จะเพิ่มชั้นการป้องกันอีกชั้นสำหรับการรั่วไหลเหล่านั้น
นอกจากนี้ยังควรทราบว่า DoH เพียงอย่างเดียวไม่ใช่ตัวทดแทน VPN DoH เข้ารหัสเฉพาะขั้นตอนการค้นหาโดเมนเท่านั้น IP address จริงของคุณยังคงมองเห็นได้โดยเว็บไซต์ที่คุณเยี่ยมชม และ ISP ของคุณยังสามารถมองเห็นได้ว่าคุณกำลังเชื่อมต่อกับ IP address ใด เพียงแต่อาจไม่ทราบว่าชื่อโดเมนใดที่กระตุ้นให้เกิดการเชื่อมต่อนั้น
ตัวอย่างและกรณีการใช้งานจริง
- Wi-Fi สาธารณะ: เมื่อเชื่อมต่อกับเครือข่ายในร้านกาแฟหรือสนามบิน DoH ป้องกันไม่ให้ผู้ดำเนินการเครือข่ายบันทึก DNS query ของคุณหรือเปลี่ยนเส้นทางไปยัง server ที่ถูกปลอมแปลง
- การเลี่ยงผ่านการเซ็นเซอร์เบื้องต้น: ISP บางรายบล็อกเว็บไซต์โดยการดักจับ DNS query DoH สามารถเลี่ยงผ่านการบล็อกในระดับ DNS ได้เนื่องจาก query ถูกเข้ารหัสและส่งไปยัง resolver ภายนอก (หมายเหตุ: ผู้เซ็นเซอร์ที่มุ่งมั่นยังสามารถบล็อก DoH resolver ด้วย IP ได้)
- การป้องกันในระดับเบราว์เซอร์: Firefox และ Chrome ให้คุณเปิดใช้งาน DoH ได้โดยตรงในการตั้งค่า ซึ่งให้ DNS ที่เข้ารหัสแม้ในเวลาที่คุณไม่ได้ใช้ VPN
- สภาพแวดล้อมขององค์กร: ผู้ดูแลระบบเครือข่ายมักถกเถียงเรื่อง DoH เพราะมันสามารถเลี่ยงผ่านการควบคุม DNS ภายในได้ หลายองค์กรจึงกำหนดค่า DoH ให้ส่งผ่าน resolver ภายในที่ได้รับอนุมัติแทนที่จะใช้ resolver สาธารณะ
DoH เทียบกับ DoT
DoH มักถูกนำไปเปรียบเทียบกับ DNS over TLS (DoT) ซึ่งเป็นโปรโตคอลการเข้ารหัส DNS อีกประเภทหนึ่ง ทั้งสองเข้ารหัสการรับส่งข้อมูล DNS แต่ DoT ใช้พอร์ตเฉพาะ (853) ที่ผู้ดูแลระบบเครือข่ายสามารถระบุและกรองได้ง่าย DoH กลมกลืนไปกับการรับส่งข้อมูล HTTPS ปกติ ทำให้บล็อกได้ยากกว่า ซึ่งนั่นทั้งเป็นจุดแข็งด้านความเป็นส่วนตัวและเป็นข้อกังวลด้านการควบคุมเครือข่าย