Úniky DNS při používání VPN

Všechny aplikace Proton VPN obsahují ochranu proti úniku DNS navrženou tak, aby zabránila webovým stránkám a podobným službám, které na internetu navštěvujete, v identifikaci vaší skutečné DNS adresy. Za určitých omezených okolností však váš počítač může tyto ochrany obejít, což může vést k tomu, že třetí strany budou moci vidět IP adresu DNS serveru, který skutečně používáte.

V tomto článku vysvětlujeme, co je DNS, jak funguje a proč může ruční konfigurace vašeho nastavení DNS zabránit správnému fungování naší ochrany proti úniku DNS.

Co je to DNS?

Každému připojení k internetu je přiřazen jedinečný číselný identifikátor známý jako adresa internetového protokolu (IP adresa). Lidský mozek není uzpůsoben k tomu, aby si pamatoval dlouhé řetězce čísel, a proto internetové zdroje (například webové stránky a herní servery) identifikujeme pomocí textových řetězců srozumitelnějších pro lidi, známých jako doménové názvy.

Domain Name System (DNS) je jako globální telefonní seznam, který překládá uživatelsky přívětivé adresy URL na IP adresy, které používají počítače.

Pokud má například URL adresa example.com IP adresu 123.456.789.012, zadáním 123.456.789.012 do adresního řádku vašeho prohlížeče přejdete na web example.com. (V praxi může jedna IP adresa odkazovat na více webů a jedna doména na více IP adres. Ale ve své podstatě je to právě to, co DNS dělá.)

DNS a soukromí

Překlad DNS je proces převodu domény na odpovídající IP adresu. Provádějí jej DNS servery, které ve výchozím nastavení provozuje váš poskytovatel internetových služeb (ISP).

Téměř všichni poskytovatelé internetových služeb (ISP) na světě uchovávají záznamy o dotazech DNS svých zákazníků, což jim umožňuje znát vaši historii procházení webu. Ačkoli poskytovatelé internetových služeb (ISP) mohou vaši internetovou aktivitu sledovat i jinými způsoby, většina z nich se omezuje pouze na uchovávání záznamů DNS.

Ačkoli se to obvykle ve výchozím nastavení neděje, webové stránky, které navštěvujete, mohou vidět IP adresu DNS serveru použitého k vyřízení dotazu DNS, který vás na jejich web nasměroval. S těmito znalostmi pak mohou oni (nebo kdokoli jiný, kdo web sleduje) kontaktovat vašeho poskytovatele internetových služeb (ISP) a požádat ho o sdělení IP adresy zákazníka, který dotaz DNS odeslal.

Vzhledem k tomu, že překlad DNS provádí váš ISP, znalost IP adresy použitého DNS serveru umožňuje webovým stránkám zjistit, ve které zemi se nacházíte. Pokud ke skrytí své skutečné IP adresy používáte VPN(nové okno) nebo proxy, ale IP adresa DNS serveru vašeho ISP je odhalena, může tento nesoulad webům umožnit zjistit, že se snažíte maskovat svou skutečnou identitu.

DNS, Proton VPN a ochrana proti úniku DNS

Proton VPN řeší tuto hrozbu provozováním vlastních DNS serverů. Podobně jako veškerý ostatní internetový provoz jsou i dotazy DNS směrovány přes tunel VPN, aby byly zpracovány na našich serverech.

Pro vnější svět se vaše DNS adresa bude lišit od IP adresy vašeho VPN serveru, ale bude patřit do stejného datového centra. Bude proto úzce odpovídat fyzickému umístění VPN serveru. (Upozorňujeme, že připojení IPv6 jsou v současné době jednoduše blokována, což nemá žádný vliv na vaše používání internetu.)

Proton VPN nezaznamenává dotazy DNS a podle švýcarských zákonů nemůže být nucen s jejich zaznamenáváním začít. Neukládáme ani IP adresy našich uživatelů.

Zjistěte více o modelu rizik Proton VPN

Všechny naše aplikace implementují ochranu proti úniku DNS a využívají pravidla firewallu a další specifické techniky pro danou platformu, aby zajistily, že žádný internetový provoz – včetně dotazů DNS – nemůže vstoupit do vašeho zařízení nebo jej opustit mimo rozhraní VPN.

Existuje však omezený počet okolností, za kterých mohou být dotazy DNS směrovány mimo tunel VPN.

Služby DNS třetích stran

Ruční konfigurace globálního nastavení DNS vašeho zařízení tak, aby využívalo službu DNS třetí strany, jako je Google Public DNS, Cloudflare nebo OpenNIC, zvyšuje pravděpodobnost, že se něco pokazí, protože je možné, že vlastní nastavení přebije naše opatření na ochranu proti úniku DNS.

Důrazně proto doporučujeme nepoužívat s Proton VPN služby DNS třetích stran. Níže naleznete návody na deaktivaci vlastních konfigurací DNS na všech hlavních platformách.

Windows 10

1. Přejdete do Start → Nastavení → Síť a internet → vaše síťové rozhraní (např. Wi-Fi nebo Ethernet) → Související nastavení → Změnit možnosti adaptéru.

2. Klikněte pravým tlačítkem myši na vaše síťové rozhraní → Vlastnosti → Internetový protokol verze 4 (TCP/IPv4) → Vlastnosti.

3. Ujistěte se, že je vybrána možnost Získat adresu serveru DNS automaticky, a poté klikněte na OK.

4. Pokud máte připojení IPv6 (nebo si nejste jisti, zda jej máte), opakujte kroky 2 and 3 pro Internetový protokol verze 6 (TCP/IPv6).

macOS

Otevřete aplikaci Nastavení a přejděte do Síť → vyberte své síťové rozhraní (např., Wi-Fi nebo Ethernet) → Podrobnosti… → záložka DNS. Vyberte libovolné DNS servery třetích stran (pokud tam nějaké jsou) a kliknutím na tlačítko – je odeberte. Klikněte na OK, až budete hotovi.

Linux

Každá distribuce Linuxu a každé desktopové prostředí nabízí jiné (i když často velmi podobné) uživatelské rozhraní pro změnu nastavení DNS. Například v Ubuntu GNOME:

1. Přejděte do Zobrazit aplikace → Vše → Nastavení → Síť a klikněte na ikonu ozubeného kola vedle vašeho síťového rozhraní.

2. Přejděte na záložky IPv4 a IPv6. V části DNS se ujistěte, že je přepínač Automaticky přepnutý do polohy zapnuto, a smažte všechny DNS záznamy, které vidíte. Až budete hotovi, klikněte na Použít.

Android 9+

Android 9+ nabízí funkci Soukromé DNS, což je systémová funkce, která automaticky chrání připojení k DNS serverům vašeho ISP pomocí DoT (pokud to váš ISP podporuje – podrobnosti naleznete níže), nebo vám umožňuje zadat vlastního poskytovatele DNS. Chcete-li funkci Soukromé DNS deaktivovat:

1. Otevřete aplikaci Nastavení a přejděte na Připojení → Další nastavení připojení → Soukromé DNS → Vypnuto.

Chrome OS

Přejděte do Nastavení → vyberte své síťové rozhraní (např. Wi-Fi nebo Ethernet. Pokud používáte Wi-Fi budete muset také vybrat známou síť) → Pokročilé → Názvové servery a ujistěte se, že je vybrána možnost Automatické názvové servery.

iOS a starší verze systému Android

Jediným způsobem, jak změnit globální nastavení DNS v systémech iOS/iPadOS a verzích Androidu starších než Android 9 Pie, je použít aplikaci třetí strany, která pro své fungování vytvoří fiktivní rozhraní VPN.

Vzhledem k tomu, že v jeden okamžik je možné mít aktivní pouze jedno připojení VPN, nelze tyto aplikace stejně spouštět souběžně s Proton VPN.

DNS přes HTTPS

DNS over HTTPS(nové okno) (DoH) je šifrovací standard, který šifruje dotazy DNS na server DNS. DoH funguje pouze tehdy, pokud je tento standard podporován poskytovatelem DNS, ale v současné době jej nabízí stále větší počet služeb DNS třetích stran (ačkoli ze strany ISP jen zřídka).

To bohužel prohlubuje problém s používáním služeb DNS třetích stran, protože šifrování brání našemu softwaru v tom, aby mohl dotazy DNS vidět. To velmi ztěžuje jejich blokování nebo přesměrování.

Důrazně proto nedoporučujeme používat DoH (a podobný standard DNS over TLS) se službou Proton VPN. Při používání našich aplikací jsou všechny dotazy DNS odesílány prostřednictvím připojení VPN na naše servery, a jsou tak bezpečně šifrovány bez nutnosti použití DoH nebo DoT.

Na stolních počítačích je DoH obvykle implementován ve vašem prohlížeči a je podporován většinou moderních prohlížečů (kromě prohlížeče Safari). Protokoly DoH a DoT jsou podporovány na mobilních zařízeních prostřednictvím soukromého DNS v systému Android nebo samostatných aplikací (jak je popsáno výše).

Jak deaktivovat DoH ve vašem stolním prohlížeči

Firefox

Přejděte na ≡ → Nastavení → Soukromí a zabezpečení → DNS přes HTTPS → Aktivovat zabezpečené DNS pomocí: a vyberte možnost Vypnuto.

Chrome

Klikněte na ikonu svislé elipsy se třemi tečkami → Nastavení → Soukromí a zabezpečení → Soukromí a zabezpečení → Zabezpečení → Pokročilé → Vybrat poskytovatele DNS a ujistěte se, že z rozbalovací nabídky je vybrána možnost Výchozí nastavení OS (pokud je k dispozici).

(Na Chromebooku přejděte do Nastavení → Soukromí a zabezpečení → Pokročilé)

Edge Chromium

Klikněte na ikonu vodorovné elipsy se třemi tečkami → Nastavení → ≡ → Soukromí, vyhledávání a služby → Zabezpečení a ujistěte se, že možnost Použít zabezpečený server DNS k určení způsobu vyhledávání síťové adresy pro weby je vypnutá.

Brave

Přejděte na ≡ → Nastavení → Soukromí a zabezpečení→ → Zabezpečení→ Pokročilé a ujistěte se, že možnost Použít zabezpečený server DNS je vypnutá.

Vaše připojení k serveru VPN bylo přerušeno

Pokud dojde k přerušení připojení mezi vaším zařízením a serverem VPN, můžete k internetu přistupovat bez ochrany VPN. Mimo jiné to znamená, že dotazy DNS mohou být odesílány na výchozí server DNS vašeho systému (který pravděpodobně provozuje váš ISP).

Tento problém lze snadno vyřešit aktivací funkce Kill Switch, která je nyní k dispozici ve všech našich aplikacích.

Jak zkontrolovat úniky DNS

1. Otevřete naši aplikaci a připojte se k jednomu z našich serverů. Za účelem provedení testu úniku DNS usnadňuje připojení k VPN v jiné zemi odhalení úniků DNS.

2. Navštivte web DNSleaktest.com(nové okno) ve vašem prohlížeči. Měli byste vidět IP adresu serveru VPN, ke kterému jste připojeni. Vyberte buď Standardní test, nebo Rozšířený test. Pro účely této příručky zvolíme rozšířený test.

3. Počkejte na dokončení testu a prohlédněte si výsledky. Pokud je zobrazená IP adresa adresou vašeho skutečného ISP, pak u vás dochází k úniku DNS. Řešení naleznete výše.

Upozorňujeme, že Proton VPN spolupracuje s poskytovateli infrastruktury po celém světě, takže ISP může být poskytovatelem třetí strany. Dokud IP adresa nepatří vašemu skutečnému poskytovateli ISP, k úniku DNS u vás nedochází.