Vazamentos de DNS ao usar uma VPN

Todos os aplicativos Proton VPN incluem proteção contra vazamento de DNS projetada para evitar que os sites e afins que você visita na internet identifiquem seu endereço DNS real. Há algumas circunstâncias limitadas, no entanto, que permitem que seu computador ignore essas proteções, o que pode resultar em terceiros conseguindo ver o endereço IP do servidor DNS que você está realmente usando.

Neste artigo, explicamos o que é DNS, como ele funciona e por que configurar manualmente suas configurações de DNS pode impedir que nossa proteção contra vazamento de DNS funcione corretamente.

O que é DNS?

Cada conexão com a internet recebe um identificador numérico exclusivo conhecido como endereço de protocolo de internet (IP). O cérebro humano não foi feito para lembrar de longas sequências de números, por isso identificamos recursos da internet (como sites e servidores de jogos) usando sequências de texto mais amigáveis, conhecidas como nomes de domínio.

O Sistema de Nomes de Domínio (DNS) é como uma lista telefônica global que traduz URLs amigáveis para os endereços IP que os computadores usam.

Assim, por exemplo, se a URL example.com tiver o endereço IP 123.456.789.012, inserir 123.456.789.012 na barra de endereço web do seu navegador levaria você ao example.com. (Na prática, um endereço IP pode ser mapeado para vários sites, e um único domínio pode ser mapeado para vários endereços IP. Mas, em essência, é isso que o DNS faz.)

DNS e privacidade

A resolução de DNS é o processo de tradução de um domínio para o seu endereço IP correspondente. Ela é realizada por servidores DNS, que por padrão são operados pelo seu provedor de internet (ISP).

Quase todos os ISPs do mundo mantêm registros de consultas DNS feitas por seus clientes, permitindo que eles conheçam seu histórico de navegação. Embora os ISPs possam rastrear sua atividade na internet de outras formas, a maioria se limita a apenas manter registros de DNS.

Embora não seja feito por padrão, é possível que os sites que você visita vejam o endereço IP do servidor DNS usado para responder à consulta de DNS que direciona você ao site deles. De posse desse conhecimento, eles (ou qualquer outra pessoa monitorando o site) podem entrar em contato com seu ISP e solicitar que ele revele o endereço IP de qualquer cliente que tenha feito a consulta de DNS.

Como a resolução de DNS é realizada pelo seu ISP, saber o endereço IP do servidor DNS que você usou permite que os sites identifiquem em qual país você está. Se você estiver usando uma VPN(nova janela) ou um proxy para ocultar seu endereço IP real, mas o endereço IP do servidor DNS do seu ISP estiver exposto, essa inconsistência pode permitir que os sites saibam que você está tentando mascarar sua identidade real.

DNS, Proton VPN e proteção contra vazamento de DNS

O Proton VPN soluciona essa ameaça operando nossos próprios servidores DNS. Como ocorre com todo o tráfego de internet, as consultas de DNS são roteadas pelo túnel VPN para serem resolvidas em nossos servidores.

Para o mundo exterior, o seu endereço DNS será diferente do endereço IP do seu servidor VPN, mas pertencerá ao mesmo data center. Portanto, ele corresponderá de perto à localização física do servidor VPN. (Observe que as conexões IPv6 são simplesmente bloqueadas no momento, o que não afeta sua experiência na internet.)

O Proton VPN não registra consultas de DNS, e pela legislação suíça não pode ser forçado a começar a registrá-las. Também não registramos os endereços IP de nossos usuários.

Saiba mais sobre o modelo de ameaça do Proton VPN

Todos os nossos aplicativos implementam proteção contra vazamento de DNS, usando regras de firewall e outras técnicas específicas de plataforma para garantir que nenhum tráfego de internet – incluindo consultas de DNS – possa entrar ou sair do seu dispositivo fora da interface da VPN.

No entanto, há um número limitado de circunstâncias em que as consultas de DNS podem ser roteadas fora do túnel VPN.

Serviços de DNS de terceiros

Configurar manualmente as configurações de DNS globais do seu dispositivo para usar um serviço de DNS de terceiros, como o Google Public DNS, Cloudflare ou OpenNIC, aumenta a chance de algo dar errado, pois é possível que as configurações personalizadas ignorem nossas medidas de prevenção de vazamento de DNS.

Portanto, recomendamos expressamente que você não use serviços de DNS de terceiros com o Proton VPN. Abaixo estão guias para desativar configurações personalizadas de DNS em todas as principais plataformas.

Windows 10

1. Acesse Iniciar → Configurações → Rede e Internet → sua interface de rede (por exemplo, Wi-Fi ou Ethernet) → Configurações relacionadas → Alterar opções do adaptador.

2. Clique com o botão direito na sua interface de rede → Propriedades → Protocolo IP Versão 4 (TCP/IPv4) → Propriedades.

3. Certifique-se de que a opção Obter o endereço dos servidores DNS automaticamente esteja selecionada e clique em OK.

4. Se você tiver uma conexão IPv6 (ou se não tiver certeza de que tem), repita as etapas 2 e 3 para o Protocolo IP Versão 6 (TCP/IPv6).

macOS

Abra o aplicativo Ajustes e vá para Rede → selecione sua interface de rede (por exemplo, Wi-Fi ou Ethernet) → Detalhes… → na guia DNS. Selecione quaisquer servidores DNS de terceiros (se houver algum) e clique no botão – para removê-los. Clique em OK quando terminar.

Linux

Cada distribuição Linux e ambiente de desktop oferece uma interface de usuário diferente (embora muitas vezes bastante semelhante) para alterar as configurações de DNS. No Ubuntu GNOME, por exemplo:

1. Acesse Mostrar aplicativos → Todos → Configurações → Rede e clique no ícone de engrenagem ao lado da sua interface de rede.

2. Acesse as guias IPv4 e IPv6. Em DNS, certifique-se de que o seletor Automático esteja ativado e exclua todas as entradas de DNS que visualizar. Clique em Aplicar quando terminar.

Android 9+

O Android 9 ou superior oferece o DNS privado, um recurso de todo o sistema que protege automaticamente a conexão com os servidores DNS do seu ISP usando DoT (se for compatível com seu ISP – veja abaixo para mais detalhes) ou permite especificar um provedor de DNS personalizado. Para desativar o DNS privado:

1. Abra o aplicativo Configurações e acesse Conexões → Mais configurações de conexão → DNS privado → Desativado.

Chrome OS

Acesse Configurações → selecione sua interface de rede (por exemplo, Wi-Fi ou Ethernet. Se estiver usando Wi-Fi, você também precisará selecionar uma rede conhecida) → Avançado → Servidores de nomes e certifique-se de que a opção Servidores de nomes automáticos esteja selecionada.

iOS e versões anteriores do Android

A única maneira de alterar as configurações globais de DNS no iOS/iPadOS e em versões do Android anteriores ao Android 9 Pie é usar um aplicativo de terceiros que crie uma interface VPN fictícia para funcionar.

Como só é possível ter uma conexão VPN por vez, você não conseguirá executar esses aplicativos junto com o Proton VPN de qualquer maneira.

DNS sobre HTTPS

DNS over HTTPS(nova janela) (DoH) é um padrão de criptografia que criptografa consultas DNS enviadas ao servidor DNS. O DoH só funciona se o padrão for suportado pelo provedor de DNS, mas agora é oferecido por um número crescente de serviços de DNS de terceiros (embora raramente por ISPs).

Infelizmente, isso agrava o problema ao usar serviços de DNS de terceiros porque a criptografia impede que nosso software veja as consultas DNS. Isso torna muito difícil bloqueá-las ou redirecioná-las.

Portanto, desaconselhamos fortemente o uso de DoH (e o padrão semelhante DNS over TLS) com o Proton VPN. Ao usar nossos aplicativos, todas as consultas DNS são enviadas por meio da conexão VPN para nossos servidores e, portanto, são criptografadas com segurança, sem a necessidade de DoH ou DoT.

Nos sistemas de desktop, o DoH geralmente é implementado dentro do seu navegador e é suportado pela maioria dos navegadores modernos (exceto o Safari). O DoH e o DoT são suportados em dispositivos móveis via DNS privado do Android ou aplicativos independentes (conforme descrito acima).

Como desativar o DoH no navegador do seu computador

Firefox

Acesse ≡ → Configurações → Privacidade e Segurança → DNS over HTTPS → Ativar DNS seguro usando: e selecione desativado.

Chrome

Clique no ícone de elipse vertical de três pontos → Configurações → Privacidade e segurança → Privacidade e segurança → Segurança → Avançado → Selecionar provedor de DNS e garanta que o Padrão do SO (quando disponível) esteja selecionado no menu suspenso.

(No Chromebook, acesse Configurações → Privacidade e segurança → Avançado)

Edge Chromium

Clique no ícone de elipse horizontal de três pontos → Configurações → ≡ → Privacidade, pesquisa e serviços → Segurança e garanta que a opção Usar DNS seguro para especificar como pesquisar o endereço de rede para sites esteja desativada.

Brave

Acesse ≡ → Configurações → Privacidade e segurança→ → Segurança→ Avançado e garanta que a opção Usar DNS seguro esteja desativada.

Sua conexão com o servidor VPN foi interrompida

Se a conexão entre seu dispositivo e o servidor VPN for interrompida, você poderá acessar a internet sem a proteção da VPN. Entre outras coisas, isso significa que as consultas DNS podem ser enviadas para o servidor DNS padrão do seu sistema (que provavelmente é operado pela sua ISP).

Esse problema é fácil de resolver ativando o recurso de kill switch, que já está disponível em todos os nossos aplicativos.

Como verificar se há vazamentos de DNS

1. Abra nosso aplicativo e conecte-se a um de nossos servidores. Para fins de execução de um teste de vazamento de DNS, conectar-se a uma VPN em um país diferente torna os vazamentos de DNS mais fáceis de detectar.

2. Acesse DNSleaktest.com(nova janela) no seu navegador. Você verá o endereço IP do servidor VPN ao qual está conectado. Escolha um teste Padrão ou um teste Estendido. Para fins deste guia, escolheremos um teste estendido.

3. Aguarde a conclusão do teste e examine os resultados. Se o endereço IP exibido for o da sua ISP real, você tem um vazamento de DNS. Consulte as soluções acima.

Observe que o Proton VPN faz parceria com provedores de infraestrutura em todo o mundo, portanto, o ISP pode ser um provedor terceirizado. Desde que o endereço IP não pertença ao seu ISP real, você não tem um vazamento de DNS.