DNS vertaalt mensvriendelijke domeinnamen naar computervriendelijke IP-adressen. Privé-DNS versleutelt DNS-aanvragen van uw apparaat naar een DNS-server. Wanneer dit wordt gebruikt in combinatie met een DNS-dienst van derden die uw privacy respecteert, kan privé-DNS uw online privacy verbeteren. Privé-DNS is echter niet nodig wanneer u een VPN gebruikt en kan uw VPN-verbinding zelfs minder veilig maken.

In dit artikel bekijken we wat privé-DNS is, hoe het kan helpen uw privacy te beschermen en hoe u het kunt inschakelen op uw apparaat, maar ook waarom u het niet in combinatie met een VPN zou moeten gebruiken.

Wat is DNS?

Het Domain Name System (DNS) koppelt mensvriendelijke domeinnamen aan de bijbehorende computervriendelijke numerieke IP-adressen.

De website van Proton VPN gebruikt bijvoorbeeld de domeinnaam protonvpn.com, die overeenkomt met het IP-adres 185.159.159.140. Wanneer u www.protonvpn.com in de URL-balk van uw browser typt, moet de domeinnaam worden omgezet naar het bijbehorende IP-adres zodat computers deze kunnen begrijpen.

Dit omzettingsproces wordt meestal uitgevoerd door speciale DNS-servers die worden beheerd door uw Internet Service Provider (ISP).

Meer informatie over DNS

Waarom DNS een privacy- en censuurprobleem vormt

Iedereen die uw DNS-aanvragen afhandelt, kan zien welke websites u bezoekt (maar niet wat u daarop doet). Tenzij u een VPN gebruikt of uw DNS-instellingen actief wijzigt, is het uw ISP die uw DNS-aanvragen afhandelt.

Het is belangrijk om te begrijpen dat uw ISP standaard kan controleren wat u online doet, zelfs als deze uw DNS-aanvragen niet afhandelt. Dit is echter voor hen de eenvoudigste (en dus goedkoopste) manier om uw browsegeschiedenis bij te houden.

De meeste ISP’s die de browsegeschiedenis van hun klanten bijhouden (en dat zijn de meeste ISP’s), kiezen daarom de weg van de minste weerstand en beperken zich tot het registreren van de DNS-records van klanten. In de meeste rechtsgebieden stelt dit minimale registratieniveau ISP’s in staat om te voldoen aan de wettelijke verplichtingen die zij hebben om de browsegeschiedenis van gebruikers bij te houden.

Op dezelfde manier vragen overheden, wanneer zij internetinhoud willen censureren op basis van sociale, religieuze, politieke of ‘morele’ gronden, binnenlandse ISP’s om deze blokkades af te dwingen. En de eenvoudigste manier om dit te doen is door DNS-aanvragen naar specifieke websites en apps te blokkeren. Het gebruik van een internationale DNS-resolver van derden kan deze eenvoudige (maar effectieve) censuurblokkades omzeilen

DNS can be used to defeat censorship

Graffiti in Istanbul die mensen aanmoedigt om Google DNS-servers te gebruiken om een hardhandig optreden van de overheid met censuur in 2014(nieuw venster) te omzeilen

Wat is de privé-DNS-modus?

In tegenstelling tot de meeste verbindingen met websites, die worden beschermd door HTTPS(nieuw venster), worden DNS-aanvragen meestal verzonden in niet-versleutelde tekst zonder opmaak. Dit betekent dat iedereen met toegang tot de DNS-aanvragen (zoals uw ISP) deze kan lezen, zelfs als ze door derden worden afgehandeld.

Als een ISP extra moeite zou doen om zijn klanten te bespioneren (wat door een restrictievere overheid vereist zou kunnen worden), zou deze eenvoudigweg de DNS-aanvragen naar resolvers van derden kunnen monitoren en registreren. Met behulp van geavanceerdere technologie zou de ISP ook censuur kunnen toepassen door deze aanvragen te filteren.

Privé-DNS voorkomt dit door uw DNS-aanvragen te versleutelen terwijl ze tussen uw apparaat en een DNS-server van derden worden verzonden. Dit zorgt ervoor dat uw ISP (of iemand anders die uw internetverbinding monitort) uw DNS-aanvragen niet kan zien.

Privé-DNS is daarom een aanzienlijke verbetering van de privacy en veiligheid van DNS ten opzichte van traditionele niet-versleutelde DNS-aanvragen. Het heeft echter ook verschillende beperkingen die we later zullen bespreken.

Privé-DNS-protocollen

Privé-DNS wordt gerealiseerd met behulp van een van de drie beveiligingsprotocollen: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) en DNSCrypt.

DNS-over-TLS

DoT versleutelt DNS-aanvragen met behulp van het Transport Layer Security(nieuw venster) (TLS)-protocol, waardoor de gegevens niet eenvoudig kunnen worden onderschept of gewijzigd. DoT draait via poort 853, waardoor het voor netwerken gemakkelijker is om specifiek DoT-verkeer te blokkeren of te monitoren, omdat het zich niet mengt met andere soorten verkeer.

Dit maakt DoT de voorkeurskeuze op netwerken die enige controle willen hebben over het verkeer dat erdoorheen gaat. DoT is op serverniveau ook minder complex te implementeren dan DoH.

DNS-over-HTTPS

DoH gebruikt HTTPS, het protocol dat alle gevoelige informatie op het internet beveiligt, om DNS-aanvragen te versleutelen. Net als DoT gebruikt DoH TLS om de DNS-aanvragen te versleutelen, maar DoH-verbindingen lopen via poort 443, zodat ze worden gemengd met regulier HTTPS-webverkeer. Dit maakt het voor waarnemers moeilijk om DNS-verkeer te onderscheiden van andere soorten webverkeer, waardoor DoH more privé en censuurbestendiger is dan DoT.

Meer informatie over HTTPS(nieuw venster)

DNSCrypt

Het oudste privé-DNS-protocol, DNSCrypt, lijkt erg op DoH, maar heeft een aantal extra functies die een verbetering zijn ten opzichte van DoH. DNSCrypt wordt echter niet breed ondersteund door besturingssystemen en browsers, en vereist daarom het uitvoeren van software van derden(nieuw venster).

Dus welke is de beste? Al deze privé-DNS-protocollen bieden enorme verbeteringen op het gebied van privacy en veiligheid in vergelijking met het helemaal niet gebruiken van privé-DNS, en hebben een verwaarloosbare invloed op uw browsesnelheid. Er zijn legitieme redenen voor sommige netwerken om de voorkeur te geven aan DoT, maar voor de meeste eindgebruikers maakt de grotere privacy die DoH biedt dit de betere optie van de twee.

In veel opzichten, en ondanks dat het de oudste optie is, is DNSCrypt nog steeds de beste optie op het gebied van privacy. Het gebrek aan ondersteuning in het hele DNS-ecosysteem beperkt echter de aantrekkingskracht ervan. In de rest van dit artikel concentreren we ons op DoT en DoH, omdat u voor deze protocollen geen extra software hoeft te downloaden.

Privé-DNS is niet zo privé als een VPN

Privé-DNS biedt een aantal privacyvoordelen, maar deze werken alleen wanneer ISP’s (vaak in opdracht van overheden) voor het laaghangende fruit kiezen en geen echte moeite doen om inhoud te censureren of u te bespioneren. Hoewel het extra inspanning vereist, kan een ISP uw verbindingen traceren om uw browsegeschiedenis te achterhalen en kan deze rechtstreeks het verkeer naar specifieke IP-adressen blokkeren.

Om te voorkomen dat een ISP kan zien wat u online doet (en het dus mogelijk kan censureren), moet u een VPN gebruiken. Dit versleutelt de verbinding tussen uw apparaat en de VPN-server, zodat uw ISP de inhoud van uw gegevens niet kan zien. DNS-aanvragen worden door de versleutelde verbinding geleid (ook wel bekend als een VPN-tunnel) om te worden afgehandeld door uw VPN-provider, zodat uw ISP niet kan weten welke websites of andere bronnen u op het internet bezoekt.

How a VPN works on your iPhone

Ook websites die u bezoekt, kunnen uw echte IP-adres niet zien. Zij kunnen alleen het IP-adres van de VPN-server zien.

Uw ISP en websites die u bezoekt zien het IP-adres van de VPN-server

Een VPN biedt daarom veel meer privacy dan een privé-DNS-dienst.

Neem Proton VPN

Gebruik privé-DNS en een VPN niet samen

Alle goede VPN-providers beheren hun eigen DNS-servers. Bij het gebruik van een VPN worden DNS-aanvragen via de VPN-tunnel geleid en afgehandeld door de VPN-dienst. Omdat de VPN-tunnel versleuteld is, worden de DNS-aanvragen versleuteld zonder dat er een privé-DNS-protocol nodig is.

Bovendien vergroot het configureren van een DNS-dienst van derden op uw systeem de kans dat DNS-aanvragen buiten de VPN-tunnel om worden geleid. Privé-DNS vergroot de kans hierop, omdat het versleutelen van de DNS-aanvragen het voor de DNS-beveiligingsmaatregelen van de VPN-software moeilijker maakt om ervoor te zorgen dat ze correct door de VPN-tunnel worden geleid.

Dus niet alleen is privé-DNS niet nodig wanneer u een VPN gebruikt, het kan ook een DNS-lek veroorzaken.

Hoe u privé-DNS gebruikt

Om privé-DNS te gebruiken, moet u eerst een DNS-resolver selecteren die DoT of DoH ondersteunt (het is ook mogelijk om zelf een DNS-server te hosten, maar dit vereist serieuze technische kennis). Populaire DNS-diensten die privé-DNS ondersteunen en die op zijn minst lippendienst bewijzen aan privacy, zijn onder andere:

  • Cloudflare 1.1.1.1 — Deze grote commerciële DNS-dienst verzamelt alleen “geanonimiseerde gegevens over DNS-aanvragen die naar de Cloudflare-resolver zijn verzonden”. Cloudflare ondersteunt DoT en DoH. 
  • Quad9 — Een DNS-dienst zonder winstoogmerk die geen persoonlijk identificeerbare informatie over zijn gebruikers verzamelt. Belangrijk is dat de IP-adressen van gebruikers niet worden opgeslagen bij het uitvoeren van een query. Quad9 ondersteunt DoH.
  • OpenNIC — OpenNIC profileert zichzelf als een gedecentraliseerde, open, ongecensureerde en democratische DNS-provider en is een verzameling van door vrijwilligers beheerde DNS-servers over de hele wereld. In tegenstelling tot de meeste DNS-diensten, waarbij een enkel DNS-adres (zoals 1.1.1.1) u verbindt met het netwerk van DNS-servers, selecteert u bij OpenNIC een individuele DNS-server om verbinding mee te maken. Het logboekbeleid en of privé-DNS wordt ondersteund (vaak in de vorm van het oudere DNSCrypt-protocol) hangt volledig af van wie de door u gekozen DNS-server beheert. 

Zodra u een DNS-provider heeft gekozen, heeft u twee opties. U kunt uw besturingssysteem (OS) configureren om alle DNS-queries naar uw gekozen provider te routeren, of u kunt alleen uw browser configureren om een privé-DNS-dienst te gebruiken.

Alle moderne besturingssystemen ondersteunen DoT of DoH (of beide), evenals alle moderne browsers. Standaard maakt Firefox automatisch verbinding met Cloudflare 1.1.1.1-servers via DoH.

De privé-DNS-modus is standaard ingeschakeld in de Firefox-browser

Laatste overwegingen over privé-DNS

Privé-DNS biedt veel meer privacy, is veiliger en is beter bestand tegen censuur dan gewone, niet-versleutelde DNS, en ten minste sommige DNS-providers geven veel meer om uw privacy dan uw ISP. Dus als u geen VPN gebruikt, moet u uw systeem of browser configureren om een betrouwbare DNS-dienst te gebruiken die privé-DNS ondersteunt.

Een VPN biedt echter veel meer privacy en is veel effectiever in het omzeilen van censuur dan het gebruik van privé-DNS. Houd er wel rekening mee dat u geen privé-DNS zou moeten (en hoeft te) gebruiken wanneer u een VPN gebruikt.