DNS překládá uživatelsky přívětivé doménové názvy na IP adresy srozumitelné pro počítače. Soukromé DNS šifruje dotazy DNS odesílané vaším zařízením na DNS server. Pokud soukromé DNS používáte se službou DNS třetí strany, která respektuje vaše soukromí, může zlepšit vaše online soukromí. Při používání VPN však soukromé DNS není nutné a může vaše připojení k VPN ve skutečnosti učinit méně bezpečným.

V tomto článku se podíváme na to, co je to soukromé DNS, jak může pomoci chránit vaše soukromí a jak jej aktivovat na vašem zařízení, ale také na to, proč byste jej neměli používat s VPN.

Co je DNS?

Domain Name System (DNS) mapuje uživatelsky přívětivé doménové názvy na jim odpovídající číselné IP adresy srozumitelné pro počítače.

Web Proton VPN například používá doménový název protonvpn.com, který odpovídá IP adrese 185.159.159.140. Když do adresního řádku URL vašeho prohlížeče zadáte www.protonvpn.com, musí být doménový název převeden na odpovídající IP adresu, aby mu počítače porozuměly.

Tento proces převodu obvykle provádějí speciální DNS servery spravované vaším poskytovatelem internetových služeb (ISP).

Více informací o DNS

Proč DNS představuje problém z hlediska soukromí a cenzury

Kdokoli zpracovává vaše dotazy DNS, uvidí, které weby navštěvujete (nikoli však to, co na nich děláte). Pokud nepoužíváte VPN nebo aktivně nezměníte své nastavení DNS, bude vaše dotazy DNS vyřizovat váš ISP.

Je důležité si uvědomit, že váš ISP může ve výchozím nastavení sledovat vaši aktivitu online, i když vaše dotazy DNS nevyřizuje. Pro poskytovatele je to však nejjednodušší (a tedy nejlevnější) způsob, jak zaznamenávat vaši historii prohlížení.

Většina ISP, kteří zaznamenávají historii prohlížení svých zákazníků (což je většina ISP), proto volí cestu nejmenšího odporu a omezuje se na zaznamenávání DNS záznamů svých zákazníků. Ve většině jurisdikcí tato minimální úroveň zaznamenávání umožňuje ISP splnit veškeré zákonné povinnosti týkající se zaznamenávání historie prohlížení uživatelů.

Podobně, pokud chtějí vlády cenzurovat internetový obsah ze společenských, náboženských, politických nebo „morálních“ důvodů, požadují od vnitrostátních ISP, aby tato blokování vynutili. Nejjednodušší způsob, jak toho dosáhnout, je blokování dotazů DNS na konkrétní weby a aplikace. Použití mezinárodního DNS resolveru třetí strany může tato jednoduchá (avšak účinná) cenzurní blokování obejít.

DNS can be used to defeat censorship

Graffiti v Istanbulu, které vyzývá lidi, aby používali servery Google DNS k obcházení vládního cenzurního zákroku z roku 2014(nové okno)

Co je režim soukromého DNS?

Na rozdíl od většiny připojení k webům, která jsou chráněna protokolem HTTPS(nové okno), se dotazy DNS obvykle odesílají v nešifrovaném prostém textu. To znamená, že kdokoli, kdo má k dotazům DNS přístup (například váš ISP), si je může přečíst, i když je vyřizuje třetí strana.

Pokud by ISP vynaložil mimořádné úsilí ke špehování svých zákazníků (což po něm může vyžadovat restriktivnější vláda), mohl by jednoduše sledovat a zaznamenávat dotazy DNS na resolvery třetích stran. S využitím sofistikovanější technologie by mohl také zavést cenzuru filtrováním těchto dotazů.

Soukromé DNS tomu zabraňuje tím, že šifruje vaše dotazy DNS při jejich přenosu mezi vaším zařízením a serverem DNS třetí strany. To zajišťuje, že váš ISP (nebo kdokoli jiný, kdo sleduje vaše internetové připojení) vaše dotazy DNS neuvidí.

Soukromé DNS proto představuje významné zlepšení soukromí a bezpečnosti DNS oproti tradičním nešifrovaným dotazům DNS. Má však také několik omezení, které probereme později.

Protokoly soukromého DNS

Soukromého DNS se dosahuje pomocí jednoho ze tří bezpečnostních protokolů: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) a DNSCrypt.

DNS-over-TLS

DoT šifruje dotazy DNS pomocí protokolu Transport Layer Security(nové okno) (TLS), což zajišťuje, že data nelze snadno zachytit ani pozměnit. DoT běží na portu 853, což sítím usnadňuje blokování nebo sledování konkrétně provozu DoT, protože nesplývá s jinými typy provozu.

Díky tomu je DoT preferovanou volbou v sítích, které chtějí mít určitou kontrolu nad provozem, který přes ně prochází. Implementace DoT na úrovni serveru je také méně složitá než v případě DoH.

DNS-over-HTTPS

DoH používá k šifrování dotazů DNS protokol HTTPS, který zabezpečuje všechny citlivé informace na internetu. Podobně jako DoT používá i DoH k šifrování dotazů DNS protokol TLS, ale připojení DoH probíhají přes port 443, takže se mísí s běžným webovým provozem HTTPS. Pro pozorovatele je tak obtížné odlišit provoz DNS od ostatních typů webového provozu, díky čemuž je DoH soukromější a odolnější vůči cenzuře než DoT.

Více informací o HTTPS(nové okno)

DNSCrypt

Nejstarší protokol soukromého DNS, DNSCrypt, je velmi podobný protokolu DoH, ale nabízí některé další funkce, které DoH vylepšují. DNSCrypt však není široce podporován operačními systémy a prohlížeči, a proto vyžaduje spuštění softwaru třetích stran(nové okno).

Který z nich je tedy nejlepší? Všechny tyto protokoly soukromého DNS nabízejí obrovské zlepšení soukromí a zabezpečení oproti tomu, když soukromé DNS nepoužíváte vůbec, a mají zanedbatelný vliv na rychlost vašeho prohlížení. Pro některé sítě existují legitimní důvody, proč upřednostňovat DoT, ale pro většinu koncových uživatelů činí větší soukromí, které nabízí DoH, z této možnosti tu lepší volbu.

V mnoha ohledech a přestože se jedná o nejstarší možnost, je DNSCrypt z hlediska soukromí stále tou nejlepší volbou. Nedostatečná podpora v celém ekosystému DNS však omezuje jeho atraktivitu. Ve zbytku tohoto článku se zaměříme na DoT a DoH, protože tyto protokoly nevyžadují stahování dalšího softwaru.

Soukromé DNS není tak soukromé jako VPN

Soukromé DNS nabízí určité výhody v oblasti soukromí, ty však fungují pouze tehdy, když se ISP (často na příkaz vlád) zaměřují na nejsnadnější cíle a nevynakládají velké úsilí na cenzuru obsahu nebo špehování. Ačkoli to vyžaduje dodatečné úsilí, ISP může sledovat vaše připojení a zjistit historii vašeho prohlížení a může přímo blokovat provoz na konkrétní IP adresy.

Chcete-li zabránit tomu, aby ISP viděl, co děláte online (a mohl to tedy potenciálně cenzurovat), měli byste používat VPN. Ta šifruje spojení mezi vaším zařízením a serverem VPN, takže váš ISP neuvidí obsah vašich dat. Dotazy DNS jsou směrovány přes šifrované připojení (známé také jako tunel VPN) a vyřizovány vaším poskytovatelem VPN, takže váš ISP nemůže vědět, které weby nebo jiné zdroje na internetu navštěvujete.

How a VPN works on your iPhone

Stejně tak weby, které navštěvujete, nevidí Vaši skutečnou IP adresu. Vidí pouze IP adresu serveru VPN.

Váš ISP a weby, které navštěvujete, vidí IP adresu serveru VPN

VPN proto poskytuje mnohem více soukromí než služba soukromého DNS.

Získat Proton VPN

Nepoužívejte soukromé DNS a VPN společně

Všichni kvalitní poskytovatelé VPN provozují vlastní servery DNS. Při použití VPN jsou požadavky DNS směrovány přes tunel VPN a vyřizovány službou VPN. Vzhledem k tomu, že tunel VPN je šifrovaný, jsou požadavky DNS šifrovány bez nutnosti použití protokolu soukromého DNS.

Konfigurace jakékoli služby DNS třetí strany ve vašem systému navíc zvyšuje pravděpodobnost, že dotazy DNS budou směrovány mimo tunel VPN. Soukromé DNS šanci na to ještě zvyšuje, protože šifrování dotazů DNS ztěžuje ochranným mechanismům softwaru VPN zajistit jejich správné směrování přes tunel VPN.

Při používání VPN je tedy soukromé DNS nejen zbytečné, ale může také způsobit únik DNS.

Jak používat soukromé DNS

Chcete-li používat soukromé DNS, musíte nejprve vybrat DNS resolver, který podporuje buď DoT, nebo DoH (je také možné provozovat vlastní DNS server, to však vyžaduje pokročilé technické znalosti). Mezi oblíbené služby DNS, které podporují soukromé DNS a alespoň formálně dbají na ochranu soukromí, patří:

  • Cloudflare 1.1.1.1 — Tato velká komerční služba DNS shromažďuje pouze „anonymizovaná data o dotazech DNS odeslaná na Cloudflare Resolver“. Cloudflare podporuje DoT a DoH. 
  • Quad9 — nezisková služba DNS, která o svých uživatelích neshromažďuje žádné osobně identifikovatelné údaje. Důležité je, že při odesílání dotazu se IP adresy uživatelů neukládají. Quad9 podporuje DoH.
  • OpenNIC — OpenNIC, který se prezentuje jako decentralizovaný, otevřený, necenzurovaný a demokratický poskytovatel DNS, je síť DNS serverů provozovaných dobrovolníky po celém světě. Na rozdíl od většiny služeb DNS, kde vás jediná DNS adresa (například 1.1.1.1) připojí k síti DNS serverů, si u OpenNIC sami vybíráte konkrétní DNS server, ke kterému se připojíte. Zásady protokolování a podpora soukromého DNS (často ve formě staršího protokolu DNSCrypt) závisí výhradně na tom, kdo vámi vybraný DNS server provozuje. 

Jakmile si vyberete poskytovatele DNS, máte dvě možnosti. Můžete nakonfigurovat svůj operační systém (OS) tak, aby směroval všechny dotazy DNS k vámi vybranému poskytovateli, nebo můžete nakonfigurovat pouze svůj prohlížeč tak, aby používal soukromou službu DNS.

Všechny moderní operační systémy podporují DoT nebo DoH (nebo obojí), stejně jako všechny moderní prohlížeče. Ve výchozím nastavení se Firefox automaticky připojuje k serverům Cloudflare 1.1.1.1 pomocí DoH.

Režim soukromého DNS je v prohlížeči Firefox ve výchozím nastavení aktivován

Závěrečné zamyšlení nad soukromým DNS

Soukromé DNS je mnohem soukromější, bezpečnější a odolnější vůči cenzuře než běžné nešifrované DNS a alespoň některým poskytovatelům DNS záleží na vašem soukromí mnohem více než vašemu ISP. Pokud tedy nepoužíváte VPN, měli byste svůj systém nebo prohlížeč nakonfigurovat tak, aby používal důvěryhodnou službu DNS, která soukromé DNS podporuje.

VPN však poskytuje mnohem více soukromí a je při překonávání cenzury mnohem účinnější než používání soukromého DNS. Mějte však na paměti, že při používání VPN byste soukromé DNS používat neměli (a ani nemusíte).