DNS tłumaczy przyjazne dla ludzi nazwy domen na adresy IP zrozumiałe dla komputerów. Prywatny DNS szyfruje zapytania DNS wysyłane przez Twoje urządzenie do serwera DNS. W połączeniu z usługą DNS strony trzeciej, która szanuje Twoją prywatność, prywatny DNS może zwiększyć Twoją prywatność online. Jednak prywatny DNS nie jest potrzebny, gdy korzystasz z VPN, a wręcz może sprawić, że Twoje połączenie VPN będzie mniej bezpieczne.

W tym artykule przyjrzymy się temu, czym jest prywatny DNS, jak może pomóc w ochronie Twojej prywatności i jak włączyć go na swoim urządzeniu, a także wyjaśnimy, dlaczego nie należy go używać z VPN.

Co to jest DNS?

System nazw domen (DNS) przyporządkowuje przyjazne dla ludzi nazwy domen do odpowiadających im, zrozumiałych dla komputerów numerycznych adresów IP.

Na przykład strona internetowa Proton VPN korzysta z nazwy domeny protonvpn.com, która odpowiada adresowi IP 185.159.159.140. Gdy wpisujesz www.protonvpn.com w pasku adresu URL przeglądarki, nazwa domeny musi zostać przekonwertowana na odpowiadający jej adres IP, aby komputery mogły ją zrozumieć.

Ten proces konwersji jest zwykle wykonywany przez specjalne serwery DNS prowadzone przez Twojego dostawcę usług internetowych (ISP).

Dowiedz się więcej o DNS

Dlaczego DNS stanowi problem w kontekście prywatności i cenzury

Każdy, kto obsługuje Twoje zapytania DNS, może zobaczyć, jakie strony internetowe odwiedzasz (ale nie to, co na nich robisz). O ile nie korzystasz z VPN lub nie zmienisz aktywnie ustawień DNS, to właśnie Twój dostawca usług internetowych (ISP) będzie obsługiwać Twoje zapytania DNS.

Warto wiedzieć, że domyślnie Twój ISP może monitorować to, co robisz online, nawet jeśli nie obsługuje Twoich zapytań DNS. Jest to jednak dla niego najprostszy (a przez to najtańszy) sposób na zapisywanie historii Twojego przeglądania.

Większość dostawców usług internetowych (ISP), którzy zapisują historię przeglądania swoich klientów (czyli większość z nich), idzie po linii najmniejszego oporu i ogranicza się do rejestrowania rekordów DNS swoich klientów. W większości jurysdykcji ten minimalny poziom rejestrowania pozwala dostawcom ISP spełnić wszelkie prawne obowiązki dotyczące zapisywania historii przeglądania użytkowników.

Podobnie, gdy rządy chcą cenzurować treści w internecie ze względów społecznych, religijnych, politycznych lub „moralnych”, zwracają się do krajowych dostawców ISP o wdrożenie tych blokad. Najprostszym sposobem, aby to zrobić, jest blokowanie zapytań DNS do określonych stron internetowych i aplikacji. Korzystanie z międzynarodowego serwera DNS strony trzeciej pozwala obejść te proste (ale skuteczne) blokady cenzury

DNS can be used to defeat censorship

Graffiti w Stambule zachęcające do korzystania z serwerów DNS Google w celu obejścia rządowych działań cenzorskich w 2014 roku(nowe okno)

Co to jest tryb prywatnego DNS?

W przeciwieństwie do większości połączeń ze stronami internetowymi, które są chronione przez HTTPS(nowe okno), zapytania DNS są zazwyczaj wysyłane jako niezaszyfrowany zwykły tekst. Oznacza to, że każdy, kto ma dostęp do zapytań DNS (np. Twój ISP), może je odczytać, nawet jeśli są obsługiwane przez stronę trzecią.

Gdyby ISP zadał sobie dodatkowy trud, aby szpiegować swoich klientów (czego może wymagać bardziej restrykcyjny rząd), mógłby po prostu monitorować i zapisywać zapytania DNS kierowane do serwerów DNS stron trzecich. Korzystając z bardziej zaawansowanej technologii, mógłby również wprowadzić cenzurę poprzez filtrowanie tych zapytań.

Prywatny DNS zapobiega temu, szyfrując zapytania DNS podczas ich przesyłania między Twoim urządzeniem a serwerem DNS strony trzeciej. Dzięki temu Twój ISP (lub ktokolwiek inny monitorujący Twoje połączenie internetowe) nie zobaczy Twoich zapytań DNS.

Prywatny DNS stanowi zatem znaczną poprawę prywatności i bezpieczeństwa DNS w porównaniu z tradycyjnymi, niezaszyfrowanymi zapytaniami DNS. Ma jednak również kilka ograniczeń, które omówimy w dalszej części artykułu.

Protokoły prywatnego DNS

Prywatny DNS opiera się na jednym z trzech protokołów bezpieczeństwa: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) oraz DNSCrypt.

DNS-over-TLS

DoT szyfruje zapytania DNS przy użyciu protokołu Transport Layer Security(nowe okno) (TLS), co gwarantuje, że dane nie mogą zostać łatwo przechwycone ani zmodyfikowane. DoT działa na porcie 853, co ułatwia sieciom blokowanie lub monitorowanie konkretnie ruchu DoT, ponieważ nie miesza się on z innymi rodzajami ruchu sieciowego.

To sprawia, że DoT jest preferowanym wyborem w sieciach, które chcą mieć pewną kontrolę nad przechodzącym przez nie ruchem sieciowym. DoT jest również mniej skomplikowany do wdrożenia na poziomie serwera niż DoH.

DNS-over-HTTPS

DoH wykorzystuje protokół HTTPS, który zabezpiecza wszystkie wrażliwe informacje w internecie, do szyfrowania zapytań DNS. Podobnie jak DoT, DoH używa protokołu TLS do szyfrowania zapytań DNS, ale połączenia DoH są realizowane przez port 443, więc mieszają się ze zwykłym ruchem internetowym HTTPS. Utrudnia to obserwatorom odróżnienie ruchu DNS od innych rodzajów ruchu sieciowego, dzięki czemu DoH jest bardziej prywatny i odporny na cenzurę niż DoT.

Dowiedz się więcej o HTTPS(nowe okno)

DNSCrypt

Najstarszy protokół prywatnego DNS, DNSCrypt, jest bardzo podobny do DoH, ale ma kilka dodatkowych funkcji, które go ulepszają. Jednak DNSCrypt nie jest powszechnie obsługiwany przez systemy operacyjne i przeglądarki, w związku z czym wymaga uruchomienia oprogramowania stron trzecich(nowe okno).

Co jest więc najlepsze? Wszystkie te protokoły prywatnego DNS oferują ogromną poprawę prywatności i bezpieczeństwa w porównaniu z całkowitym brakiem korzystania z prywatnego DNS, a ich wpływ na prędkość przeglądania jest znikomy. Istnieją uzasadnione powody, dla których niektóre sieci wolą DoT, ale dla większości użytkowników końcowych większa prywatność oferowana przez DoH sprawia, że jest to lepsza opcja z tych dwóch.

Pod wieloma względami, i pomimo bycia najstarszym rozwiązaniem, DNSCrypt nadal pozostaje najlepszą opcją pod kątem prywatności. Jednak brak wsparcia w całym ekosystemie DNS ogranicza jego popularność. W dalszej części tego artykułu skupimy się na DoT i DoH, ponieważ protokoły te nie wymagają pobierania dodatkowego oprogramowania.

Prywatny DNS nie jest tak prywatny jak VPN

Prywatny DNS oferuje pewne zalety w zakresie prywatności, ale działają one tylko wtedy, gdy dostawcy ISP (często na zlecenie rządów) idą na łatwiznę i nie wkładają większego wysiłku w cenzurowanie treści lub szpiegowanie użytkowników. Choć wymaga to dodatkowego wysiłku, ISP może śledzić Twoje połączenia w celu ustalenia historii przeglądania i może bezpośrednio blokować ruch do określonych adresów IP.

Aby uniemożliwić dostawcy ISP podglądanie Twojej aktywności online (i tym samym potencjalne cenzurowanie jej), powinieneś korzystać z VPN. Szyfruje on połączenie między Twoim urządzeniem a serwerem VPN, przez co Twój ISP nie widzi zawartości Twoich danych. Zapytania DNS są kierowane przez zaszyfrowane połączenie (znane również jako tunel VPN) i obsługiwane przez dostawcę VPN, dzięki czemu Twój ISP nie może dowiedzieć się, jakie strony internetowe lub inne zasoby odwiedzasz w internecie.

How a VPN works on your iPhone

Podobnie strony internetowe, które odwiedzasz, nie mogą zobaczyć Twojego prawdziwego adresu IP. Widzą tylko adres IP serwera VPN.

Twój dostawca Internetu i odwiedzane strony widzą adres IP serwera VPN

VPN zapewnia zatem znacznie większą prywatność niż usługa prywatnego DNS.

Pobierz Proton VPN

Nie używaj jednocześnie prywatnego DNS i VPN

Wszyscy dobrzy dostawcy VPN prowadzą własne serwery DNS. Podczas korzystania z VPN zapytania DNS są kierowane przez tunel VPN i obsługiwane przez usługę VPN. Ponieważ tunel VPN jest zaszyfrowany, zapytania DNS również są szyfrowane bez potrzeby stosowania protokołu prywatnego DNS.

Co więcej, skonfigurowanie jakiejkolwiek usługi DNS strony trzeciej w Twoim systemie zwiększa prawdopodobieństwo, że zapytania DNS zostaną skierowane poza tunel VPN. Prywatny DNS zwiększa te szanse, ponieważ szyfrowanie zapytań DNS utrudnia środkom ochrony DNS stosowanym przez oprogramowanie VPN upewnienie się, że są one prawidłowo kierowane przez tunel VPN.

Zatem prywatny DNS jest nie tylko niepotrzebny przy korzystaniu z VPN, ale może również spowodować wyciek DNS.

Jak korzystać z prywatnego DNS

Aby korzystać z prywatnego DNS, musisz najpierw wybrać serwer DNS obsługujący protokół DoT lub DoH (możliwe jest również samodzielne hostowanie serwera DNS, ale wymaga to sporej wiedzy technicznej). Popularne usługi DNS, które obsługują prywatny DNS i przynajmniej deklarują dbałość o prywatność, to min.:

  • Cloudflare 1.1.1.1 — ta duża komercyjna usługa DNS gromadzi wyłącznie „anonimowe dane zapytań DNS wysyłane do serwera Cloudflare”. Cloudflare obsługuje DoT i DoH. 
  • Quad9 — usługa DNS typu non-profit, która nie gromadzi żadnych danych umożliwiających identyfikację swoich użytkowników. Co ważne, adresy IP użytkowników nie są przechowywane podczas wysyłania zapytania. Quad9 obsługuje DoH.
  • OpenNIC — reklamujący się jako zdecentralizowany, otwarty, wolny od cenzury i demokratyczny dostawca DNS, OpenNIC jest siecią prowadzonych przez wolontariuszy serwerów DNS zlokalizowanych na całym świecie. W przeciwieństwie do większości usług DNS, w których pojedynczy adres DNS (taki jak 1.1.1.1) łączy Cię z siecią serwerów DNS, w OpenNIC wybierasz konkretny serwer DNS, z którym chcesz się połączyć. Polityka logowania oraz to, czy prywatny DNS jest obsługiwany (często w formie starszego protokołu DNSCrypt), zależy wyłącznie od osoby prowadzącej wybrany przez Ciebie serwer DNS. 

Po wybraniu dostawcy DNS masz dwie opcje. Możesz skonfigurować swój system operacyjny (OS), aby przekierowywał wszystkie zapytania DNS do wybranego dostawcy, lub skonfigurować tylko przeglądarkę, aby korzystała z prywatnej usługi DNS.

Wszystkie nowoczesne systemy operacyjne obsługują DoT lub DoH (lub oba te protokoły), podobnie jak wszystkie nowoczesne przeglądarki. Domyślnie Firefox automatycznie łączy się z serwerami Cloudflare 1.1.1.1 przy użyciu DoH.

Tryb prywatnego DNS jest domyślnie włączony w przeglądarce Firefox

Końcowe przemyślenia na temat prywatnego DNS

Prywatny DNS jest znacznie bardziej prywatny, bezpieczny i odporny na cenzurę niż zwykły, niezaszyfrowany DNS, a przynajmniej niektórzy dostawcy DNS dbają o Twoją prywatność znacznie bardziej niż Twój ISP. Jeśli więc nie korzystasz z VPN, powinieneś skonfigurować swój system lub przeglądarkę tak, aby korzystały z zaufanej usługi DNS obsługującej prywatny DNS.

Jednak VPN zapewnia znacznie większą prywatność i jest o wiele skuteczniejszy w walce z cenzurą niż korzystanie z prywatnego DNS. Pamiętaj tylko, że nie powinieneś (i nie musisz) korzystać z prywatnego DNS, gdy używasz VPN.