O DNS traduz nomes de domínio fáceis para humanos em endereços IP fáceis para computadores. O DNS privado criptografa as consultas de DNS feitas pelo seu dispositivo para um servidor DNS. Quando usado com um serviço de DNS de terceiros que respeita a sua privacidade, o DNS privado pode melhorar a sua privacidade on-line. No entanto, o DNS privado não é necessário ao usar uma VPN e pode, na verdade, tornar a sua conexão VPN menos segura.

Neste artigo, analisamos o que é o DNS privado, como ele pode ajudar a proteger a sua privacidade e como ativá-lo no seu dispositivo, mas também por que você não deve usá-lo com uma VPN.

O que é DNS?

O Domain Name System (DNS) mapeia nomes de domínio fáceis para humanos para seus endereços IP numéricos correspondentes, amigáveis para computadores.

Por exemplo, o site do Proton VPN usa o nome de domínio protonvpn.com, que corresponde ao endereço IP 185.159.159.140. Quando você digita www.protonvpn.com na barra de URL do seu navegador, o nome de domínio deve ser convertido no seu endereço IP correspondente para que os computadores o entendam.

Esse processo de conversão geralmente é realizado por servidores DNS especiais executados pelo seu provedor de serviços de internet (ISP).

Saiba mais sobre o DNS

Por que o DNS representa um problema de privacidade e censura

Quem quer que resolva as suas consultas de DNS pode ver quais sites você visita (mas não o que faz neles). A menos que você use uma VPN ou altere ativamente as suas configurações de DNS, será o seu ISP quem resolverá as suas consultas de DNS.

É importante entender que, por padrão, o seu ISP pode monitorar o que você faz on-line, mesmo quando não resolve as suas consultas de DNS. No entanto, essa é a forma mais fácil (e, portanto, mais barata) para ele registrar o seu histórico de navegação.

A maioria dos ISPs que registram o histórico de navegação dos clientes (que é a maioria dos ISPs), portanto, segue o caminho de menor resistência e se limita a registrar os registros de DNS dos clientes. Na maioria das jurisdições, esse nível mínimo de registro permite que os ISPs cumpram quaisquer obrigações legais que tenham de registrar os históricos de navegação dos usuários.

Da mesma forma, quando governos desejam censurar conteúdo da internet por motivos sociais, religiosos, políticos ou “morais”, eles pedem aos ISPs domésticos que apliquem esses bloqueios. E a maneira mais fácil de fazer isso é bloquear as consultas de DNS para determinados sites e aplicativos. Usar um resolvedor de DNS internacional de terceiros pode contornar esses bloqueios simples (mas eficazes) de censura

DNS can be used to defeat censorship

Grafite em Istambul, incentivando as pessoas a usarem os servidores de DNS do Google para contornar a repressão da censura do governo em 2014(nova janela)

O que é o modo de DNS privado?

Diferente da maioria das conexões com sites, que são protegidas por HTTPS(nova janela), as consultas de DNS são geralmente enviadas em texto simples não criptografado. Isso significa que qualquer pessoa com acesso às consultas de DNS (como o seu ISP) pode lê-las, mesmo que sejam resolvidas por terceiros.

Se um ISP fizesse um esforço extra para espionar os seus clientes (como pode ser exigido por um governo mais restritivo), ele poderia simplesmente monitorar e registrar as consultas de DNS para resolvedores de terceiros. Usando tecnologia mais sofisticada, ele também poderia implementar a censura filtrando essas consultas.

O DNS privado evita isso ao criptografar as suas consultas de DNS à medida que elas trafegam entre o seu dispositivo e um servidor DNS de terceiros. Isso garante que o seu ISP (ou qualquer outra pessoa que monitore a sua conexão com a internet) não possa ver as suas consultas de DNS.

O DNS privado, portanto, representa uma melhoria significativa na privacidade e segurança do DNS em relação às consultas tradicionais de DNS não criptografadas. No entanto, ele também apresenta várias limitações que discutiremos mais tarde.

Protocolos de DNS privado

O DNS privado é obtido por meio de um dos três protocolos de segurança: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) e DNSCrypt.

DNS-over-TLS

O DoT criptografa as consultas de DNS usando o protocolo Transport Layer Security(nova janela) (TLS), garantindo que os dados não possam ser facilmente interceptados ou alterados. O DoT funciona na porta 853, tornando mais fácil para as redes bloquearem ou monitorarem o tráfego DoT especificamente, pois ele não se mistura com outros tipos de tráfego.

Isso torna o DoT a escolha preferida em redes que desejam ter algum controle sobre o tráfego que passa por elas. O DoT também é menos complexo de implementar no nível do servidor do que o DoH.

DNS-over-HTTPS

O DoH usa HTTPS, o protocolo que protege todas as informações confidenciais na internet, para criptografar as consultas de DNS. Assim como o DoT, o DoH usa TLS para criptografar as consultas de DNS, mas as conexões DoH funcionam na porta 443, misturando-se com o tráfego regular da web HTTPS. Isso dificulta que observadores diferenciem o tráfego de DNS de outros tipos de tráfego da web, tornando o DoH mais privado e resistente à censura do que o DoT.

Saiba mais sobre HTTPS(nova janela)

DNSCrypt

O protocolo de DNS privado mais antigo, DNSCrypt, é muito semelhante ao DoH, mas com alguns recursos adicionais que superam o DoH. No entanto, o DNSCrypt não é amplamente compatível com sistemas operacionais e navegadores e, portanto, exige a execução de software de terceiros(nova janela).

Então, qual é o melhor? Todos esses protocolos de DNS privado oferecem grandes melhorias de privacidade e segurança em comparação com não usar o DNS privado, e têm um impacto insignificante nas suas velocidades de navegação. Existem razões legítimas para algumas redes preferirem o DoT, mas, para a maioria dos usuários finais, a maior privacidade oferecida pelo DoH faz dele a melhor opção entre as duas.

De várias maneiras, e apesar de ser a opção mais antiga, o DNSCrypt ainda é a melhor opção em termos de privacidade. No entanto, a falta de suporte em todo o ecossistema de DNS limita o seu apelo. No restante deste artigo, focaremos no DoT e no DoH, pois esses protocolos não exigem que você baixe softwares adicionais.

O DNS privado não é tão privado quanto uma VPN

O DNS privado oferece algumas vantagens de privacidade, mas elas só funcionam quando os ISPs (geralmente a mando de governos) escolhem o caminho mais fácil e não se esforçam muito para censurar conteúdo ou espionar você. Embora exija um esforço extra, um ISP pode rastrear as suas conexões para determinar o seu histórico de navegação e pode bloquear diretamente o tráfego para endereços IP específicos.

Para evitar que um ISP consiga ver o que você faz on-line (e, portanto, possivelmente censurar), você deve usar uma VPN. Isso criptografa a sua conexão entre o seu dispositivo e o servidor VPN, para que o seu ISP não possa ver o conteúdo dos seus dados. As consultas de DNS são roteadas pela conexão criptografada (também conhecida como túnel VPN) para serem resolvidas pelo seu provedor de VPN, para que o seu ISP não saiba quais sites ou outros recursos você visita na internet.

How a VPN works on your iPhone

Da mesma forma, os sites que você visita não podem ver seu verdadeiro endereço IP. Tudo o que podem ver é o endereço IP do servidor VPN.

Seu ISP e os sites que você visita veem o endereço IP do servidor VPN

Uma VPN, portanto, oferece muito mais privacidade do que um serviço de DNS privado.

Obter o Proton VPN

Não use o DNS privado e uma VPN juntos

Todos os bons provedores de VPN operam seus próprios servidores DNS. Ao usar uma VPN, as solicitações de DNS são roteadas pelo túnel VPN e resolvidas pelo serviço de VPN. Como o túnel VPN é criptografado, as solicitações de DNS são criptografadas sem a necessidade de um protocolo de DNS privado.

Além disso, configurar qualquer serviço de DNS de terceiros em seu sistema aumenta a probabilidade de as solicitações de DNS serem roteadas para fora do túnel VPN. O DNS privado aumenta as chances de isso acontecer, porque a criptografia das consultas de DNS torna mais difícil para as medidas de proteção de DNS usadas pelo software da VPN garantirem que elas sejam roteadas corretamente pelo túnel VPN.

Portanto, além de o DNS privado não ser necessário ao usar uma VPN, ele pode causar um vazamento de DNS.

Como usar o DNS privado

Para usar o DNS privado, primeiro você deve selecionar um resolvedor de DNS que suporte DoT ou DoH (também é possível auto-hospedar um servidor DNS, mas isso exige conhecimentos técnicos avançados). Os serviços de DNS populares que suportam DNS privado e que demonstram pelo menos algum compromisso com a privacidade incluem:

  • Cloudflare 1.1.1.1 — Esse grande serviço comercial de DNS coleta apenas “dados anonimizados de consultas de DNS enviados ao Cloudflare Resolver”. O Cloudflare suporta DoT e DoH. 
  • Quad9 — Um serviço de DNS sem fins lucrativos que não coleta nenhuma informação de identificação pessoal sobre seus usuários. O mais importante é que os endereços IP dos usuários não são armazenados ao fazer uma consulta. O Quad9 oferece suporte a DoH.
  • OpenNIC — Apresentando-se como um provedor de DNS descentralizado, aberto, sem censura e democrático, o OpenNIC é uma coleção de servidores DNS operados por voluntários localizados em todo o mundo. Ao contrário da maioria dos serviços de DNS, nos quais um único endereço DNS (como 1.1.1.1) conecta você à rede de servidores DNS, com o OpenNIC você seleciona um servidor DNS individual para se conectar. As políticas de registro e a compatibilidade com o DNS privado (geralmente na forma do protocolo DNSCrypt, mais antigo) dependem inteiramente de quem opera o servidor DNS que você escolher. 

Depois de escolher um provedor de DNS, você tem duas opções. Você pode configurar seu sistema operacional (SO) para rotear todas as consultas de DNS para o provedor escolhido ou pode configurar apenas seu navegador para usar um serviço de DNS privado.

Todos os sistemas operacionais modernos oferecem suporte a DoT ou DoH (ou ambos), assim como todos os navegadores modernos. Por padrão, o Firefox se conecta automaticamente aos servidores 1.1.1.1 da Cloudflare usando DoH.

O modo de DNS privado é ativado por padrão no navegador Firefox

Considerações finais sobre o DNS privado

O DNS privado é muito mais privado, seguro e resistente à censura do que o DNS comum não criptografado, e pelo menos alguns provedores de DNS se importam muito mais com a sua privacidade do que o seu ISP. Portanto, se você não usa uma VPN, deve configurar seu sistema ou navegador para usar um serviço de DNS confiável que ofereça suporte a DNS privado.

No entanto, uma VPN oferece muito mais privacidade e é muito mais eficaz para contornar a censura do que o uso de um DNS privado. Apenas lembre-se de que você não deve (e não precisa) usar um DNS privado ao usar uma VPN.