DNS over TLS (DoT): Alan Adı Aramalarınızı Gizli Tutun

Tarayıcınıza bir web sitesi adresi yazdığınızda, cihazınız bir DNS sorgusu gönderir; yani temelde bir sunucuya "Bu alan adının IP adresi nedir?" diye sorar. Geleneksel olarak bu sorgular internet üzerinden düz metin biçiminde iletilir; bu da internet sağlayıcınızın, ağ yöneticilerinin veya bağlantınızı izleyen herhangi birinin hangi web sitelerini ziyaret etmeye çalıştığınızı görebileceği anlamına gelir. Yaygın olarak DoT kısaltmasıyla bilinen DNS over TLS, tam da bu sorunu çözmek için tasarlanmıştır.

DoT Nedir?

DNS over TLS, DNS sorgularınızı bir TLS (Transport Layer Security) şifreli bağlantısının içine saran bir ağ protokolüdür; bu teknoloji, bankacılık web sitenizi veya e-posta girişinizi koruyan teknolojinin aynısıdır. "Bu web sitesi nerede?" isteklerini açık bir şekilde göndermek yerine DoT, bu isteklerin cihazınızdan çıkmadan önce şifrelenmesini sağlar. Protokol, 2016 yılında RFC 7858 kapsamında resmi olarak standartlaştırılmış ve o tarihten bu yana Cloudflare (1.1.1.1), Google (8.8.8.8) ve diğerleri dahil olmak üzere büyük DNS çözümleyicileri tarafından benimsenmiştir.

Nasıl Çalışır?

Normalde DNS trafiği, herhangi bir şifreleme olmaksızın port 53 üzerinden UDP veya TCP kullanılarak iletilir. DoT, port 853 üzerinden özel bir TLS bağlantısı kurarak bunu değiştirir. Temel akış şu şekildedir:

  1. Cihazınız (veya DNS çözümleyiciniz), dijital sertifikalar aracılığıyla kimliğini doğrulayarak DNS sunucusuyla bir TLS el sıkışması başlatır.
  2. Şifreli tünel kurulduktan sonra DNS sorgunuz bu tünel üzerinden iletilir ve dışarıdan gözlemcilere tamamen gizli kalır.
  3. DNS sunucusu isteği işler ve yanıtı aynı şifreli kanal üzerinden geri gönderir.
  4. Cihazınız, dönen IP adresini kullanarak web sitesine bağlanır.

DoT özel bir port (853) üzerinde çalıştığından ağ yöneticileri ve güvenlik duvarları DoT trafiğini kolayca tespit edebilir ve isterlerse engelleyebilir. Bu durum, DoT'u yakın akrabası DNS over HTTPS (DoH)'tan ayıran temel farklardan biridir; DoH, DNS trafiğini port 443 üzerindeki normal web trafiğiyle harmanlayarak engellenmesini daha da güçleştirir.

VPN Kullanıcıları için Neden Önemlidir?

Zaten bir VPN kullanıyorsam DoT hakkında endişelenmem gerekir mi diye düşünüyor olabilirsiniz. Bu, yerinde bir sorudur. Bir VPN, doğru yapılandırıldığında DNS sorguları dahil tüm trafiğinizi şifreler. Ancak göz ardı edilmemesi gereken bazı önemli nüanslar bulunmaktadır:

  • DNS sızıntıları: VPN istemciniz düzgün yapılandırılmamışsa DNS istekleri zaman zaman şifreli VPN tünelini atlayarak doğrudan ISP'nizin çözümleyicisine düz metin olarak ulaşabilir. DNS sızıntısı, korunduğunuzu düşündüğünüz anlarda bile tarama etkinliğinizi ifşa edebilir. DoT, buna karşı koruma sağlayan ek bir şifreleme katmanı sunar.
  • VPN kullanılmayan ortamlar: Herkes her zaman VPN kullanmaz. Açık Wi-Fi ağlarında, iş yerinde veya mobil veri kullanırken DoT, DNS sorgularınızı bir VPN'den bağımsız olarak korur.
  • ISP gözetimi ve bant genişliği kısıtlaması: Şifreli DNS olmadan ISP'niz ziyaret ettiğiniz her alan adını kaydedebilir; bu meta verileri satabilir ya da belirli hizmetleri kısıtlamak için kullanabilir. DoT, bu sorguların okunmasını engeller.

Pratik Örnekler ve Kullanım Senaryoları

Ev ağı güvenliği: Yönlendiricinizi veya yerel DNS çözümleyicinizi DoT kullanacak şekilde yapılandırmak (Cloudflare veya Quad9 gibi gizlilik odaklı bir çözümleyiciye yönlendirerek), ağınızdaki her cihazın her birine ayrı bir şey yüklemenize gerek kalmadan şifreli DNS aramalarından yararlanmasını sağlar.

Mobil gizlilik: Android 9 ve sonraki sürümler, DoT'u yerel olarak destekleyen yerleşik bir "Özel DNS" özelliği içerir. Herhangi bir üçüncü taraf uygulama olmadan ayarlardan etkinleştirebilir ve tüm DNS sorgularını şifreli bir çözümleyici üzerinden yönlendirebilirsiniz.

Kurumsal ağlar: BT ekipleri, ağdaki çalışanların veya saldırganların dahili DNS sorgularını ele geçirmesini önlemek ve DNS sahteciliği ya da ortadaki adam saldırısı riskini azaltmak için DoT kullanır.

Gazeteciler ve aktivistler: Yoğun internet gözetiminin yapıldığı bölgelerde DNS sorgularının şifrelenmesi, gözetim sistemlerinin yalnızca DNS trafiğine dayanarak çevrimiçi davranışların bir profilini oluşturmasını zorlaştırarak anlamlı bir gizlilik katmanı ekler.

DoT tek başına eksiksiz bir gizlilik çözümü değildir; tam koruma için gerçek web trafiğinizin hâlâ HTTPS veya bir VPN'e ihtiyacı vardır. Ancak DoT, günlük internet güvenliğinde sıklıkla göz ardı edilen önemli bir açığı kapatır.