El DNS traduce nombres de dominio fáciles de recordar para los humanos a direcciones IP legibles por computadoras. El DNS privado cifra las consultas de DNS que realiza su dispositivo a un servidor DNS. Cuando se utiliza con un servicio de DNS de terceros que respeta su privacidad, el DNS privado puede mejorar su privacidad en línea. Sin embargo, el DNS privado no es necesario cuando se utiliza una VPN y, de hecho, puede hacer que su conexión VPN sea menos segura.
En este artículo, analizamos qué es el DNS privado, cómo puede ayudar a proteger su privacidad y cómo activarlo en su dispositivo, pero también por qué no debe usarlo con una VPN.
- ¿Qué es el DNS?
- Por qué el DNS representa un problema de privacidad
- ¿Qué es el modo de DNS privado?
- Protocolos de DNS privado
- El DNS privado no es tan privado como una VPN
- No use el DNS privado y una VPN juntos
- Cómo usar el DNS privado
¿Qué es el DNS?
El Sistema de nombres de dominio (DNS) asocia nombres de dominio fáciles de recordar para los humanos con sus correspondientes direcciones IP numéricas legibles por computadoras.
Por ejemplo, el sitio web de Proton VPN utiliza el nombre de dominio protonvpn.com, que corresponde a la dirección IP 185.159.159.140. Cuando escribe www.protonvpn.com en la barra de URL de su navegador, el nombre de dominio debe convertirse a su dirección IP correspondiente para que las computadoras puedan entenderlo.
Este proceso de conversión suele ser realizado por servidores DNS especiales administrados por su proveedor de servicio de internet (PSI).
Por qué el DNS representa un problema de privacidad y censura
Cualquiera que resuelva sus consultas de DNS puede ver qué sitios web visita (pero no lo que hace en ellos). A menos que use una VPN o cambie de forma activa sus ajustes de DNS, será su PSI el que resuelva sus consultas de DNS.
Es importante entender que, por defecto, su PSI puede monitorear lo que hace en línea, incluso cuando no resuelve sus consultas de DNS. Sin embargo, esta es la forma más fácil (y por lo tanto la más económica) para que ellos registren su historial de navegación.
Por lo tanto, la mayoría de los PSIs que registran el historial de navegación de sus clientes (que son la mayoría) toman la ruta de menor resistencia y se limitan a registrar los registros DNS de los clientes. En la mayoría de las jurisdicciones, este nivel mínimo de registro permite a los PSIs cumplir con cualquier obligación legal que tengan de registrar los historiales de navegación de los usuarios.
Del mismo modo, cuando los gobiernos desean censurar el contenido de internet por motivos sociales, religiosos, políticos o “morales”, piden a los PSIs nacionales que apliquen estos bloqueos. Y la forma más fácil de hacerlo es bloquear las consultas de DNS a determinados sitios web y aplicaciones. El uso de un resolutor de DNS internacional de terceros puede eludir estos bloqueos de censura simples (pero eficaces).
Grafiti en Estambul que anima a la gente a utilizar los servidores DNS de Google para eludir una medida de censura gubernamental en 2014(nueva ventana)
¿Qué es el modo de DNS privado?
A diferencia de la mayoría de las conexiones a sitios web, que están protegidas por HTTPS(nueva ventana), las consultas de DNS suelen enviarse en texto plano sin cifrar. Esto significa que cualquier persona con acceso a las consultas de DNS (como su PSI) puede leerlas, incluso si las resuelve un tercero.
Si un PSI hiciera un esfuerzo adicional para espiar a sus clientes (así como podría exigirle un gobierno más restrictivo), simplemente podría monitorear y registrar las consultas de DNS a resolutores de terceros. Mediante el uso de tecnología más sofisticada, también podría implementar la censura al filtrar estas consultas.
El DNS privado evita esto al cifrar sus consultas de DNS a medida que viajan entre su dispositivo y un servidor DNS de terceros. Esto garantiza que su PSI (o cualquier otra persona que monitoree su conexión a internet) no pueda ver sus consultas de DNS.
El DNS privado, por lo tanto, representa una mejora significativa en la privacidad y seguridad del DNS con respecto a las consultas de DNS tradicionales sin cifrar. Sin embargo, también tiene varias limitaciones que analizaremos más adelante.
Protocolos de DNS privado
El DNS privado se logra utilizando uno de tres protocolos de seguridad: DNS sobre TLS (DoT), DNS sobre HTTPS (DoH) y DNSCrypt.
DNS sobre TLS
DoT cifra las consultas de DNS utilizando el protocolo Seguridad de la capa de transporte(nueva ventana) (TLS), lo que garantiza que los datos no se puedan interceptar ni alterar fácilmente. DoT se ejecuta a través del puerto 853, lo que facilita que las redes bloqueen o monitoreen específicamente el tráfico de DoT, ya que no se mezcla con otros tipos de tráfico.
Esto hace que DoT sea la opción preferida en las redes que desean tener cierto control sobre el tráfico que pasa a través de ellas. DoT también es menos complejo de implementar a nivel de servidor que DoH.
DNS sobre HTTPS
DoH utiliza HTTPS, el protocolo que protege toda la información confidencial en internet, para cifrar las consultas de DNS. Al igual que DoT, DoH utiliza TLS para cifrar las consultas de DNS, pero las conexiones de DoH se ejecutan a través del puerto 443, por lo que se mezclan con el tráfico web HTTPS habitual. Esto dificulta que los observadores distingan el tráfico de DNS de otros tipos de tráfico web, lo que hace que DoH sea más privado y resistente a la censura que DoT.
Más información sobre HTTPS(nueva ventana)
DNSCrypt
El protocolo de DNS privado más antiguo, DNSCrypt, es muy similar a DoH, pero con algunas funciones adicionales que mejoran a este último. Sin embargo, DNSCrypt no cuenta con un soporte amplio por parte de los sistemas operativos y navegadores, por lo que requiere la ejecución de software de terceros(nueva ventana).
¿Entonces cuál es el mejor? Todos estos protocolos de DNS privado ofrecen enormes mejoras de privacidad y seguridad en comparación con no usar un DNS privado en absoluto, y tienen un impacto insignificante en sus velocidades de navegación. Existen razones legítimas para que algunas redes prefieran DoT, pero para la mayoría de los usuarios finales, la mayor privacidad que ofrece DoH lo convierte en la mejor opción de las dos.
En muchos sentidos, y a pesar de ser la opción más antigua, DNSCrypt sigue siendo la mejor opción en términos de privacidad. Sin embargo, la falta de soporte en todo el ecosistema de DNS limita su atractivo. Para el resto de este artículo, nos concentraremos en DoT y DoH, ya que estos protocolos no requieren que descargue software adicional.
El DNS privado no es tan privado como una VPN
El DNS privado ofrece algunas ventajas de privacidad, pero estas solo funcionan cuando los PSIs (a menudo por orden de los gobiernos) eligen el camino más fácil y no se esfuerzan mucho en censurar el contenido o espiarlo. Aunque requiere un esfuerzo adicional, un PSI puede rastrear sus conexiones para determinar su historial de navegación y puede bloquear directamente el tráfico a direcciones IP específicas.
Para evitar que un PSI pueda ver lo que hace en línea (y, por lo tanto, censurarlo potencialmente), debe usar una VPN. Esto cifra su conexión entre su dispositivo y el servidor VPN, de modo que su PSI no pueda ver el contenido de sus datos. Las consultas de DNS se enrutan a través de la conexión cifrada (también conocida como túnel de VPN) para que su proveedor de VPN las resuelva, por lo que su PSI no puede saber qué sitios web u otros recursos visita en internet.
Del mismo modo, los sitios web que visita no pueden ver su dirección IP real. Todo lo que pueden ver es la dirección IP del servidor VPN.
Por lo tanto, una VPN proporciona mucha más privacidad que un servicio de DNS privado.
No use el DNS privado y una VPN juntos
Todos los buenos proveedores de VPN operan sus propios servidores DNS. Al usar una VPN, las solicitudes de DNS se enrutan a través del túnel de VPN y son resueltas por el servicio de VPN. Como el túnel de VPN está cifrado, las solicitudes de DNS se cifran sin necesidad de un protocolo de DNS privado.
Además, configurar cualquier servicio de DNS de terceros en su sistema hace que sea más probable que las solicitudes de DNS se enruten fuera del túnel de VPN. El DNS privado aumenta las posibilidades de que esto suceda, porque el cifrado de las consultas de DNS dificulta que las medidas de protección de DNS utilizadas por el software de la VPN garanticen que se enruten correctamente a través del túnel de VPN.
Por lo tanto, no solo el DNS privado no es necesario cuando se utiliza una VPN, sino que puede causar una DNS leak.
Cómo usar el DNS privado
Para usar el DNS privado, primero debe seleccionar un resolutor de DNS que admita DoT o DoH (también es posible alojar uno mismo un servidor DNS, pero esto requiere conocimientos técnicos avanzados). Los servicios de DNS populares que admiten DNS privado y que al menos afirman respetar la privacidad incluyen:
- Cloudflare 1.1.1.1 — Este gran servicio comercial de DNS solo recopila «datos anonimizados de consultas de DNS enviados al resolutor de Cloudflare». Cloudflare admite DoT y DoH.
- Quad9: un servicio de DNS sin fines de lucro que no recopila ninguna información de identificación personal de sus usuarios. Es importante destacar que las direcciones IP de los usuarios no se almacenan al realizar una consulta. Quad9 admite DoH.
- OpenNIC: presentándose como un proveedor de DNS descentralizado, abierto, sin censura y democrático, OpenNIC es una colección de servidores DNS administrados por voluntarios en todo el mundo. A diferencia de la mayoría de los servicios de DNS, donde una sola dirección DNS (como 1.1.1.1) lo conectará a la red de servidores DNS, con OpenNIC, usted selecciona un servidor DNS individual al que conectarse. Las políticas de registro y si se admite el DNS privado (a menudo en la forma del protocolo DNSCrypt, que es más antiguo) dependen por completo de quien administre el servidor DNS que usted elija.
Una vez que haya elegido un proveedor de DNS, tiene dos opciones. Puede configurar su sistema operativo (SO) para enrutar todas las consultas de DNS al proveedor elegido, o puede configurar solo su navegador para usar un servicio de DNS privado.
Todos los sistemas operativos modernos admiten DoT o DoH (o ambos), al igual que todos los navegadores modernos. De forma predeterminada, Firefox se conecta automáticamente a los servidores 1.1.1.1 de Cloudflare mediante DoH.
Reflexiones finales sobre el DNS privado
El DNS privado es mucho más privado, seguro y resistente a la censura que el DNS común sin cifrar, y al menos algunos proveedores de DNS se preocupan mucho más por su privacidad que su PSI. Por lo tanto, si no usa una VPN, debería configurar su sistema o navegador para utilizar un servicio de DNS confiable que admita DNS privado.
Sin embargo, una VPN proporciona mucha más privacidad y es mucho más eficaz para combatir la censura que el uso de un DNS privado. Solo tenga en cuenta que no debería (y no necesita) usar un DNS privado cuando utiliza una VPN.
