DNS este sistemul prin care o aplicație obține informațiile necesare pentru a ajunge la un serviciu identificat printr-un nume de domeniu. Într-un parcurs obișnuit, dispozitivul trimite întrebarea unui resolver recursiv, care caută răspunsul sau îl folosește din memoria sa temporară. Această etapă precede conexiunea cu serviciul căutat și poate dezvălui informații despre activitatea utilizatorului.
Faptul că înregistrările unui domeniu sunt publice nu înseamnă că istoricul întrebărilor unei persoane trebuie să fie public. O cerere DNS poate asocia un nume căutat cu sursa solicitării. Mai multe cereri pot permite observarea unui tipar de utilizare. RFC 9076, analiza IETF asupra confidențialității DNS, distinge informația publică despre un serviciu de informația despre persoana care îl caută.
O pagină web poate declanșa cereri pentru mai multe domenii, inclusiv pentru imagini, scripturi și alte resurse incluse. Există și solicitări anticipate, făcute de browser înaintea accesării efective a unei pagini. Astfel, o cerere DNS nu dovedește singură că utilizatorul a citit un anumit articol sau a făcut o anumită acțiune. Ea indică o solicitare tehnică, în contextul aplicației care a emis-o.
Cum funcționează transportul criptat
DNS prin HTTPS, abreviat DoH, transportă întrebările și răspunsurile DNS într-o conexiune HTTPS. Standardul RFC 8484 descrie comunicarea dintre client și serverul DoH. Criptarea și autentificarea conexiunii protejează mesajele pe acest traseu împotriva observării și modificării de către un intermediar. Protecția privește legătura cu resolverul ales, nu toate comunicațiile pe care dispozitivul le va face ulterior.
Resolverul primește în continuare cererile necesare pentru a furniza răspunsul. TLS nu îi ascunde acestuia conținutul întrebării DNS și nici nu elimină automat posibilitatea corelării solicitărilor. Standardul discută și informații care pot identifica un client, precum caracteristicile conexiunii ori anumite antete HTTP. Criptarea traseului și politica de prelucrare a datelor de către furnizor sunt, prin urmare, componente diferite ale confidențialității.
DoH nu ascunde adresa de destinație a unei conexiuni web făcute după rezolvarea numelui și nu constituie, prin el însuși, un mecanism de anonimizare. Observarea altor elemente ale traficului poate continua. De asemenea, transportul criptat nu înlocuiește validarea datelor prin DNSSEC. Aceasta verifică autenticitatea și integritatea unor răspunsuri DNS, în timp ce HTTPS protejează canalul dintre client și serverul folosit.
În implementarea descrisă de Cloudflare, DoH utilizează portul 443, același port folosit în mod obișnuit de traficul HTTPS. Furnizorul documentează suportul pentru versiunile HTTP, HTTP/2 și HTTP/3. Întrebările DNS sunt încapsulate în solicitări HTTPS; faptul că circulă prin același tip de transport ca paginile web nu le transformă în conținutul paginilor și nu schimbă rolul resolverului.
Documentația distinge configurarea DoH în browser de folosirea unor clienți pentru resolver. Acestea sunt puncte diferite de aplicare a setării. O alegere făcută într-o aplicație poate controla cererile emise de acea aplicație, fără să descrie automat configurația tuturor programelor din sistem. Pagina despre transport este separată de documentele furnizorului privind confidențialitatea, deoarece protocolul și păstrarea datelor au obiecte distincte.
Ce se întâmplă când conexiunea nu funcționează
Firefox oferă niveluri de protecție care controlează comportamentul DoH și posibilitatea revenirii la rezolvarea DNS obișnuită. În modul implicit, browserul poate aplica reguli în funcție de disponibilitatea serviciului și de configurația rețelei. Documentația Mozilla menționează situații precum folosirea unui VPN, controlul parental sau administrarea de către o organizație. Activarea opțiunii nu descrie singură fiecare cerere făcută în orice context.
Modurile cu protecție mai strictă folosesc furnizorul ales și pot afișa un avertisment atunci când rezolvarea securizată nu este disponibilă. Diferența dintre o revenire permisă la DNS obișnuit și oprirea însoțită de avertisment este relevantă pentru efectul concret al setării. Un eșec al conexiunii cu resolverul nu este identic cu inexistența domeniului pe care browserul încearcă să îl acceseze.
Pagina de setări poate arăta dacă DoH este activ, inactiv sau oprit și poate explica motivele pentru care transportul securizat nu este folosit. Mozilla descrie separat alegerea furnizorului și excepțiile permise pentru anumite situații. Aceste informații privesc funcționarea browserului. Ele nu reprezintă o confirmare că alte aplicații, routerul sau toate dispozitivele conectate la aceeași rețea utilizează același mecanism.
Google Public DNS documentează atât transportul mesajelor DNS în formatul standard, cât și o interfață care răspunde în format JSON. Sunt interfețe pentru clienți și dezvoltatori, nu o schimbare a regulilor prin care un domeniu este înregistrat sau găzduit. Mesajele pot fi trimise prin metode HTTP diferite, potrivit interfeței folosite, iar formatul cererii trebuie să corespundă serviciului ales.
Un răspuns HTTP reușit arată că solicitarea către serviciul DoH a fost procesată, dar nu garantează că interogarea DNS a găsit un rezultat utilizabil. Google explică faptul că răspunsul DNS are propriul cod de rezultat. Este o distincție între succesul transportului și succesul rezolvării numelui. Același canal criptat poate transmite atât un răspuns cu adrese, cât și o eroare DNS.
Pentru dezvoltatori, documentația recomandă limitarea antetelor care pot dezvălui informații despre client și discută umplerea mesajelor pentru reducerea analizei dimensiunii traficului. Metoda folosită poate influența și memorarea temporară a răspunsurilor. Aceste detalii arată că proprietățile de confidențialitate nu provin exclusiv din numele protocolului: implementarea concretă poate transmite metadate diferite chiar când transportul este criptat corect.
Politica Google Public DNS descrie jurnale temporare care includ adresa IP și cererea, păstrate în mod obișnuit între 24 și 48 de ore, cu excepții legate de securitate sau abuz. Pentru jurnalele permanente, furnizorul precizează eliminarea adresei IP și păstrarea unor date agregate ori de localizare aproximativă. Aceste termene aparțin furnizorului respectiv și nu sunt reguli universale impuse tuturor serverelor DoH.
Google declară că datele personale din serviciu nu sunt folosite pentru publicitate direcționată și nu sunt asociate cu alte servicii Google, în afara situațiilor de securitate și combatere a abuzului descrise în politică. Criptarea conexiunii nu stabilește singură aceste condiții de utilizare. Ele sunt angajamente separate ale operatorului, care explică ce se întâmplă cu informațiile după ce ajung la resolver.