O DNS traduz nomes de domínio fáceis de memorizar para as pessoas em endereços IP fáceis de processar para computadores. O DNS privado encripta as consultas de DNS efetuadas pelo seu dispositivo para um servidor de DNS. Quando utilizado com um serviço de DNS de terceiros que respeite a sua privacidade, o DNS privado pode melhorar a sua privacidade online. No entanto, o DNS privado não é necessário ao utilizar uma VPN e pode, de facto, tornar a sua ligação VPN menos segura.

Neste artigo, analisamos o que é o DNS privado, como pode ajudar a proteger a sua privacidade e como ativá-lo no seu dispositivo, mas também por que razão não deve utilizá-lo com uma VPN.

O que é o DNS?

O Domain Name System (DNS) mapeia nomes de domínio fáceis de memorizar para as pessoas nos respetivos endereços IP numéricos fáceis de processar por computadores.

Por exemplo, o sítio web da Proton VPN utiliza o nome de domínio protonvpn.com, que corresponde ao endereço IP 185.159.159.140. Quando introduz www.protonvpn.com na barra de URL do seu navegador, o nome de domínio tem de ser convertido no endereço IP correspondente para que os computadores o consigam compreender.

Este processo de conversão é normalmente efetuado por servidores de DNS especiais geridos pelo seu provedor de serviços de internet (ISP).

Saiba mais sobre o DNS

Por que razão o DNS coloca um problema de privacidade e de censura

Quem resolver as suas consultas de DNS pode ver quais os sítios web que visita (mas não o que faz neles). A menos que utilize uma VPN ou altere ativamente as suas definições de DNS, será o seu ISP a resolver as suas consultas de DNS.

É importante compreender que, por predefinição, o seu ISP pode monitorizar o que faz online, mesmo quando não resolve as suas consultas de DNS. No entanto, esta é a forma mais fácil (e, portanto, mais barata) de registarem o seu histórico de navegação.

A maioria dos ISPs que registam o histórico de navegação dos seus clientes (que são a maioria dos ISPs) opta, por isso, pelo caminho de menor resistência e limita-se a registar os registos DNS dos clientes. Na maioria das jurisdições, este nível mínimo de registo permite aos ISPs cumprir quaisquer obrigações legais que tenham de registar os históricos de navegação dos utilizadores.

Da mesma forma, quando os governos pretendem censurar conteúdos da internet por motivos sociais, religiosos, políticos ou “morais”, solicitam aos ISPs nacionais que apliquem estes bloqueios. E a forma mais fácil de o fazer é bloquear as consultas de DNS para sítios web e aplicações específicos. Utilizar um resolvedor de DNS internacional de terceiros pode contornar estes bloqueios simples (mas eficazes) de censura

DNS can be used to defeat censorship

Graffiti em Istambul, incentivando as pessoas a utilizar os servidores de DNS da Google para contornar uma repressão de censura governamental em 2014(nova janela)

O que é o modo de DNS privado?

Ao contrário da maioria das ligações a sítios web, que estão protegidas por HTTPS(nova janela), as consultas de DNS são normalmente enviadas em texto simples sem encriptação. Isto significa que qualquer pessoa com acesso às consultas de DNS (como o seu ISP) pode lê-las, mesmo que sejam resolvidas por terceiros.

Se um ISP fizesse um esforço adicional para espiar os seus clientes (como lhe poderia ser exigido por um governo mais restritivo), poderia simplesmente monitorizar e registar as consultas de DNS para resolvedores de terceiros. Utilizando tecnologia mais sofisticada, poderia também implementar a censura filtrando estas consultas.

O DNS privado evita isto encriptando as suas consultas de DNS à medida que viajam entre o seu dispositivo e um servidor de DNS de terceiros. Isto garante que o seu ISP (or qualquer outra pessoa que monitorize a sua ligação à internet) não possa ver as suas consultas de DNS.

O DNS privado representa, por isso, uma melhoria significativa na privacidade e segurança do DNS em relação às consultas de DNS tradicionais sem encriptação. No entanto, também tem várias limitações que iremos discutir mais adiante.

Protocolos de DNS privado

O DNS privado é alcançado utilizando um de três protocolos de segurança: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) e DNSCrypt.

DNS-over-TLS

O DoT encripta as consultas de DNS utilizando o protocolo Transport Layer Security(nova janela) (TLS), garantindo que os dados não possam ser facilmente intercetados ou alterados. O DoT funciona na porta 853, tornando mais fácil para as redes bloquear ou monitorizar especificamente o tráfego DoT, uma vez que não se mistura com outros tipos de tráfego.

Isto faz do DoT a escolha preferida em redes que pretendem ter algum controlo sobre o tráfego que passa por elas. O DoT também é menos complexo de implementar ao nível do servidor do que o DoH.

DNS-over-HTTPS

O DoH utiliza o HTTPS, o protocolo que protege todas as informações sensíveis na internet, para encriptar consultas de DNS. Tal como o DoT, o DoH utiliza o TLS para encriptar as consultas de DNS, mas as ligações DoH são executadas na porta 443, pelo que são misturadas com o tráfego web HTTPS regular. Isto dificulta aos observadores a distinção do tráfego DNS de outros tipos de tráfego web, tornando o DoH mais privado e resistente à censura do que o DoT.

Saiba mais sobre HTTPS(nova janela)

DNSCrypt

O protocolo de DNS privado mais antigo, o DNSCrypt, é muito semelhante ao DoH, mas com algumas funcionalidades adicionais que o melhoram. No entanto, o DNSCrypt não é amplamente suportado por sistemas operativos e navegadores, exigindo, por isso, a execução de software de terceiros(nova janela).

Então, qual é o melhor? Todos estes protocolos de DNS privado oferecem grandes melhorias de privacidade e segurança em relação a não utilizar de todo um DNS privado, e têm um impacto insignificante nas suas velocidades de navegação. Existem razões legítimas para algumas redes preferirem o DoT, mas para a maioria dos utilizadores finais, a maior privacidade que o DoH oferece faz dele a melhor opção das duas.

Em muitos aspetos, e apesar de ser a opção mais antiga, o DNSCrypt continua a ser a melhor opção em termos de privacidade. No entanto, a falta de suporte em todo o ecossistema de DNS limita o seu apelo. No resto deste artigo, iremos concentrar-nos no DoT e no DoH, uma vez que estes protocolos não exigem que transfira software adicional.

O DNS privado não é tão privado como uma VPN

O DNS privado oferece algumas vantagens de privacidade, mas estas só funcionam quando os ISPs (muitas vezes a mando dos governos) escolhem o caminho mais fácil e não aplicam um esforço real para censurar conteúdos ou espiar as suas atividades. Embora exija um esforço extra, um ISP pode rastrear as suas ligações para determinar o seu histórico de navegação e pode bloquear diretamente o tráfego para endereços IP específicos.

Para evitar que um ISP consiga ver o que faz online (e, por isso, potencialmente censurá-lo), deve utilizar uma VPN. Esta encripta a ligação entre o seu dispositivo e o servidor VPN, para que o seu ISP não consiga ver o conteúdo dos seus dados. As consultas de DNS são encaminhadas através da ligação encriptada (também conhecida como túnel VPN) para serem resolvidas pelo seu fornecedor de VPN, pelo que o seu ISP não pode saber quais os sítios web ou outros recursos que visita na internet.

How a VPN works on your iPhone

Da mesma forma, os sítios web que visita não podem ver o seu verdadeiro endereço IP. Tudo o que podem ver é o endereço IP do servidor VPN.

O seu ISP e os sítios web que visita veem o endereço IP do servidor VPN

Uma VPN oferece, por isso, muito mais privacidade do que um serviço de DNS privado.

Obter o Proton VPN

Não utilize o DNS privado e uma VPN em conjunto

Todos os bons fornecedores de VPN operam os seus próprios servidores de DNS. Ao utilizar uma VPN, os pedidos de DNS são encaminhados através do túnel VPN e resolvidos pelo serviço de VPN. Como o túnel VPN está encriptado, os pedidos de DNS são encriptados sem a necessidade de um protocolo de DNS privado.

Além disso, configurar qualquer serviço de DNS de terceiros no seu sistema torna mais provável que os pedidos de DNS sejam encaminhados fora do túnel VPN. O DNS privado aumenta as probabilidades de isso acontecer, porque encriptar as consultas de DNS torna mais difícil para as medidas de proteção de DNS utilizadas pelo software da VPN garantir que são devidamente encaminhadas através do túnel VPN.

Portanto, o DNS privado não só não é necessário ao utilizar uma VPN, como pode causar uma fuga de DNS.

Como utilizar o DNS privado

Para utilizar o DNS privado, deve primeiro selecionar um resolvedor de DNS que suporte DoT ou DoH (também é possível autoalojar um servidor de DNS, mas isso requer competências técnicas sérias). Os serviços de DNS populares que suportam DNS privado e que, pelo menos em teoria, respeitam a privacidade incluem:

  • Cloudflare 1.1.1.1 — Este grande serviço comercial de DNS apenas recolhe “dados de consulta de DNS anonimizados enviados para o resolvedor Cloudflare”. A Cloudflare suporta DoT e DoH. 
  • Quad9 — Um serviço de DNS sem fins lucrativos que não recolhe informações de identificação pessoal sobre os seus utilizadores. Crucialmente, os endereços IP dos utilizadores não são armazenados ao efetuar uma consulta. O Quad9 suporta DoH.
  • OpenNIC — Apresentando-se como um fornecedor de DNS descentralizado, aberto, sem censura e democrático, o OpenNIC é uma coleção de servidores DNS geridos por voluntários localizados em todo o mundo. Ao contrário da maioria dos serviços de DNS, em que um único endereço DNS (como o 1.1.1.1) o liga à rede de servidores DNS, com o OpenNIC, seleciona um servidor DNS individual ao qual se ligar. As políticas de registo, e se o DNS privado é suportado (frequentemente sob a forma do protocolo mais antigo DNSCrypt), dependem inteiramente de quem gere o servidor DNS que escolher. 

Assim que escolher um fornecedor de DNS, tem duas opções. Pode configurar o seu sistema operativo (SO) para encaminhar todas as consultas de DNS para o fornecedor que escolheu, ou pode configurar apenas o seu navegador para utilizar um serviço de DNS privado.

Todos os sistemas operativos modernos suportam DoT ou DoH (ou ambos), tal como todos os navegadores modernos. Por predefinição, o Firefox liga-se automaticamente aos servidores 1.1.1.1 da Cloudflare utilizando DoH.

O modo de DNS privado está ativado por predefinição no navegador Firefox

Considerações finais sobre o DNS privado

O DNS privado é muito mais privado, seguro e resistente à censura do que o DNS normal sem encriptação, e pelo menos alguns fornecedores de DNS preocupam-se muito mais com a sua privacidade do que o seu ISP. Portanto, se não utiliza uma VPN, deve configurar o seu sistema ou navegador para utilizar um serviço de DNS de confiança que suporte DNS privado.

No entanto, uma VPN oferece muito mais privacidade e é muito mais eficaz a contornar a censura do que a utilização de DNS privado. Tenha apenas em atenção que não deve (e não precisa de) utilizar um DNS privado quando utiliza uma VPN.