Neste artigo, discutimos as pesquisas de DNS — o que são, como funcionam e de que forma afetam a privacidade online e a censura.

Uma pesquisa de DNS refere-se ao processo de correspondência do URL que introduz na barra de endereços do seu navegador (o nome de domínio legível) ao seu correspondente endereço IP.

Todos os dispositivos que se ligam diretamente à internet são identificados por uma etiqueta numérica conhecida como endereço IP. Para facilitar as coisas a nós, humanos, este endereço também pode ser identificado utilizando nomes de domínio mais fáceis de ler e de memorizar. O Domain Name System (DNS) mapeia estes nomes de domínio para os seus correspondentes endereços IP.

Saiba mais sobre endereços IP

Por exemplo, o sítio web da Proton VPN utiliza o nome de domínio protonvpn.com, que corresponde ao endereço IP 185.159.159.140. Quando introduz www.protonvpn.com na barra de URL do seu navegador, o nome de domínio tem de ser convertido no seu endereço IP correspondente para que os computadores o possam compreender.

Esta conversão é realizada utilizando o DNS. Por isso, quando introduz protonvpn.com, o DNS converte o nome de domínio no endereço IP: 185.159.159.140. Isto permite que o seu navegador localize e se ligue ao sítio web correto.

Os nomes de domínio existem unicamente para conveniência humana e não são necessários para que a internet funcione. Se se lembrasse dos endereços IP, poderia introduzi-los diretamente. Para ver isto em ação, basta introduzir 185.159.159.140 na barra de URL do seu navegador, e esta irá levá-lo ao sítio web da Proton VPN.

Como funciona uma pesquisa de DNS

O DNS é frequentemente comparado a uma lista telefónica que faz a correspondência entre nomes de domínio e os seus respetivos endereços IP. Trata-se de uma analogia útil para compreender o que o DNS faz, mas a realidade do seu funcionamento é mais complexa.

Resolutor de DNS

Quando introduz um nome de domínio na barra de URL do seu navegador, é enviada uma consulta de DNS para um servidor especial chamado resolutor de DNS (também designado por recursor de DNS ou apenas servidor de DNS).

Como o seu nome sugere, o resolutor de DNS “resolve” a consulta de DNS ao obter o endereço IP correspondente ao domínio e ao enviá-lo de volta para o seu navegador. Agora que já conhece o endereço IP do sítio web que pretende visitar, o seu navegador pode ligar-se ao mesmo.

Até aqui, tudo simples. Mas como é que o resolutor de DNS obtém o endereço DNS correto para um domínio (um processo complicado pelo facto de serem criados novos domínios constantemente e de os endereços IP serem frequentemente atribuídos de forma dinâmica aos domínios e, por conseguinte, sofrerem alterações regulares)?

Como um domínio é resolvido através de DNS

Uma pesquisa de DNS para um domínio de topo(nova janela) (TLD) envolve normalmente os seguintes passos:

1. Introduz protonvpn.com na barra de URL do seu navegador. O seu navegador envia esta consulta através da internet para um resolutor de DNS.

2. O resolutor de DNS envia uma consulta para um servidor de nomes de raiz de DNS. Trata-se de um servidor que armazena informações sobre TLDs (como .com ou .net, ou TLDs de código de país, como .ch ou .uk). Como a nossa consulta era (protonvpn.com), o servidor de nomes de raiz de DNS apontaria para o resolutor de DNS dos TLDs “.com”.

3. Munido destas informações, o resolutor de DNS irá agora consultar o servidor de nomes TLD .com, que mantém uma lista de todos os domínios .com. O servidor de nomes TLD responde com o endereço IP do servidor de nomes autoritativo do domínio.

4. O resolutor de DNS pode agora consultar o servidor de nomes autoritativo do domínio. Este é normalmente gerido por um agente de registo de nomes de domínio(nova janela) — uma empresa que aluga e gere nomes de domínio (como a GoDaddy ou a Namecheap). O servidor de nomes autoritativo é a fonte definitiva de informação sobre o domínio e pode devolver o respetivo endereço IP ao resolutor de DNS (no nosso caso, este será 185.159.159.140).

5. O resolutor de DNS envia o endereço IP correto para o seu navegador, que agora se pode ligar a 185.159.159.140.

Como funciona o DNS

Na realidade, a situação é um pouco mais complicada. Por exemplo, muitos domínios estão associados a múltiplos endereços IP (incluindo endereços IPv4 e IPv6), e haverá passos adicionais se visitar um subdomínio (como blog.protonvpn.com).

As informações também são habitualmente guardadas em cache (armazenadas localmente) em todas as fases do processo — pelo seu navegador, pelo resolutor de DNS e pelos vários servidores de nomes. Se a informação pretendida for encontrada numa cache, o pedido não é enviado, o que resulta na omissão de alguns passos.

No entanto, em essência, é assim que o DNS funciona para uma visita normal a um sítio web.

DNS, censura e vigilância governamental

Por predefinição, o seu navegador envia as suas consultas de DNS para um resolutor de DNS gerido pelo seu provedor de serviços de internet (ISP). O seu ISP pode utilizar vários métodos para ver o que faz na internet, mas a forma mais fácil (e económica) é, de longe, simplesmente monitorizar as suas consultas de DNS.

A maioria dos programas de espionagem governamental em massa baseia-se na obrigação de os ISPs manterem registos do histórico de navegação dos seus clientes. E, por ser fácil e barato, a maioria dos ISPs cumpre estas obrigações legais mantendo apenas registos de DNS.

Do mesmo modo, quando os governos pretendem censurar conteúdos da internet por motivos sociais, religiosos, políticos ou “morais”, solicitam aos ISPs nacionais que apliquem estes bloqueios. E a forma mais fácil de o fazer é bloquear as consultas de DNS para sítios web e aplicações específicos.

Serviços de DNS de terceiros

Uma forma de evitar, pelo menos, parte desta censura e vigilância é utilizar um resolutor de DNS de terceiros, como o 1.1.1.1 da Cloudflare ou o OpenNIC.

Alguns destes serviços podem ter boas políticas de privacidade, mas a menos que as ligações aos servidores de resolução de DNS sejam encriptadas utilizando DNS sobre TLS (DoT) ou DNS sobre HTTPS (DoH), o seu ISP poderá ver os pedidos em texto simples caso decida analisar.

Encriptar as consultas de DNS torna mais difícil (e, consequentemente, mais dispendioso) para um ISP monitorizar o seu histórico de navegação, mas este continua a conseguir rastrear com relativa facilidade os sítios web e as aplicações a que se liga, se assim o desejar.

Obtenha o Proton VPN!

DNS e VPNs

Ao utilizar uma VPN (como a Proton VPN), a sua ligação ao servidor de VPN é encriptada. Com algum esforço, o seu ISP pode ver que se ligou a um endereço IP pertencente ao servidor de VPN, mas nada mais.

As consultas de DNS são enviadas através do túnel de VPN e resolvidas pelo provedor de VPN, que pode executar o seu próprio resolutor de DNS ou utilizar um resolutor de VPN de terceiros. Isto não tem implicações de privacidade, uma vez que as consultas de DNS parecem provir do servidor de VPN e não do utilizador da VPN.

Saiba como funciona uma VPN

Vale a pena notar que não há necessidade de DNS encriptado ao utilizar uma VPN, uma vez que todas as consultas de DNS são enviadas através do túnel de VPN encriptado de qualquer forma.

Também não é recomendado utilizar um resolutor de DNS de terceiros juntamente com uma VPN. Configurar o seu sistema desta forma pode fazer com que as suas consultas de DNS sejam enviadas fora do túnel de VPN para o resolutor de DNS de terceiros.

Saiba mais sobre fugas de DNS

NetShield Ad-blocker

A Proton VPN disponibiliza o NetShield Ad-blocker em todas as nossas aplicações. Trata-se de uma funcionalidade de filtragem de DNS que bloqueia as consultas de DNS para domínios que se sabe pertencerem a empresas de publicidade, rastreadores online e malware. Esta funcionalidade (e outros serviços de filtragem de DNS semelhantes) funciona ao nível do resolutor de DNS, simplesmente falhando na resolução de consultas de DNS para domínios que constam de listas de bloqueio.

Saiba mais sobre o bloqueador de anúncios NetShield

Tecnicamente, isto constitui uma fuga de DNS (ver abaixo). Isto pode não ser um grande problema se a consulta de DNS estiver encriptada e se confiar no resolvedor de DNS, mas introduz um terceiro desnecessário (e, portanto, um potencial ponto de fragilidade) na equação.

Fugas de DNS

Ao utilizar uma VPN, todas as consultas de DNS devem ser enviadas através do túnel de VPN para serem resolvidas pelo fornecedor de VPN. Se, por qualquer motivo, a consulta de DNS for enviada para fora do túnel de VPN para um resolvedor de DNS de terceiros, ocorreu uma fuga de DNS. A falha no encaminhamento correto de pedidos de DNS IPv6 através do túnel de VPN é uma causa comum de fugas de DNS.

Dado que este terceiro seria provavelmente o seu ISP, as fugas de DNS são uma preocupação séria de privacidade. Escusado será dizer que todas as aplicações Proton VPN têm uma forte proteção integrada contra fugas de DNS.

Obter o Proton VPN Plus

Tipos comuns de registos DNS

Aqui estão alguns dos principais tipos de registos DNS que podem ser consultados:

  • Registo A (Address): Mapeia um nome de domínio para um endereço IPv4. Exemplo: example.com → 192.0.2.1
  • Registo AAAA (Quad A): Mapeia um nome de domínio para um endereço IPv6. Exemplo: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
  • Registo CNAME (Canonical Name): Mapeia um nome de domínio para outro nome de domínio, criando efetivamente um pseudónimo de um nome para outro. Exemplo: www.example.com → example.com
  • Registo MX (Mail Exchange): Especifica os servidores de e-mail responsáveis por receber e-mails em nome de um domínio. Exemplo: example.com → mail.example.com (prioridade 10 — o número de prioridade indica a preferência, sendo preferidos os pedidos com prioridade mais baixa).
  • Registo PTR (Pointer): Mapeia um endereço IP para um nome de domínio, utilizado principalmente para consultas de DNS inverso. Exemplo: 192.0.2.1 → example.com
  • Registo NS (Name Server): Especifica os servidores de nomes de autoridade para um domínio. Exemplo: example.com → ns1.example.com, ns2.example.com
  • Registo SOA (Start of Authority): Fornece informações importantes sobre o domínio, incluindo o servidor de nomes principal, o e-mail do administrador do domínio, o número de série do domínio (que ajuda a gerir e a sincronizar os dados de DNS entre vários servidores de DNS) e os temporizadores de atualização, repetição e expiração (Exemplo: example.com → ns1.example.com, admin.example.com, 2024041501)
  • Registo TXT (Text): Contém dados de texto arbitrários, frequentemente utilizados para validação de e-mail (como SPF ou DKIM) e outros fins de verificação. Exemplo: example.com → “v=spf1 include:example.com ~all”
  • Registo SRV (Service): Especifica a localização de servidores para serviços específicos, tais como o protocolo de telefonia por Internet SIP(nova janela), o protocolo de mensagens XMPP(nova janela), etc. Exemplo: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
  • Registo CAA (Certification Authority Authorization): Especifica quais as autoridades de certificação (CAs) autorizadas a emitir certificados para um domínio. Exemplo: example.com → 0 issue “letsencrypt.org”
  • Registo NAPTR (Naming Authority Pointer): Utilizado para a resolução de URLs e para definir regras de reescrita para vários serviços, como VoIP. Exemplo: example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
  • DNSKEY: Contém a chave de assinatura pública utilizada no DNSSEC (conjunto de especificações concebido para adicionar uma camada extra de segurança ao DNS).
  • . Exemplo: example.com → 256 3 13 …
  • Registo DS (Delegation Signer): Contém o hash de um registo DNSKEY para proteger delegações no DNSSEC. Exemplo: example.com → 12345 13 2 …
  • Registo SPF (Sender Policy Framework): Utilizado para definir quais os endereços IP autorizados a enviar e-mails em nome de um domínio. Exemplo: example.com → “v=spf1 ip4:192.0.2.0/24 -all”

Comandos de consulta de DNS

Os comandos de DNS são utilizados para consultar, testar e resolver problemas em servidores e registos de DNS. Estes comandos são essenciais para os administradores de rede garantirem que os serviços de DNS estão a funcionar corretamente, uma vez que o DNS é crucial para a resolução de nomes de domínio para endereços IP.

Abaixo estão alguns comandos de DNS vulgarmente utilizados. Pode executar estes comandos numa janela de terminal (Linux), no Terminal (macOS), na Linha de Comandos (cmd) ou PowerShell (Windows), ou até numa aplicação de emulação de terminal no seu dispositivo móvel. Nem todos estes comandos podem estar disponíveis de imediato na sua plataforma, mas em quase todos os casos são fáceis de instalar.

nslookup

O comando nslookup é uma ferramenta para consultar o DNS para obter o mapeamento do nome de domínio ou do endereço IP. Também pode especificar um servidor de DNS específico a utilizar e realizar uma consulta de DNS inverso.

nslookup

dig

O comando dig (Domain Information Groper) é uma ferramenta de consulta de IP de DNS mais poderosa e flexível do que o nslookup. Os administradores de rede preferem-no frequentemente pelo seu resultado detalhado e opções avançadas.

dig

Com o dig, também pode consultar um tipo de registo DNS específico, consultar um servidor de DNS específico e realizar uma consulta de DNS inverso.

host

O comando host é outra ferramenta para realizar consultas de DNS. É mais simples do que o dig, mas fornece informações suficientes para tarefas básicas, incluindo consultar um servidor de DNS específico e realizar consultas de DNS inverso.

host

ping

O comando ping é utilizado principalmente para verificar a acessibilidade de um anfitrião numa rede IP, mas também realiza a resolução de DNS como parte do seu funcionamento.

ping

traceroute / tracert

Os comandos traceroute (no Linux e macOS) e tracert (no Windows) são utilizados para rastrear o caminho de um pacote, da sua origem ao seu destino. Resolve o nome de domínio para um endereço IP e mostra cada salto no caminho para o destino.

traceroute

ipconfig / ifconfig

Os comandos ifconfig (no Linux e macOS) e ipconfig (no Windows) podem ser utilizados para apresentar a configuração de rede, incluindo os servidores de DNS que o sistema está a utilizar. Quando utilizado isoladamente, apresenta apenas as interfaces ativas. Para ver todas as interfaces no Windows, utilize ipconfig /all.

ipconfig

Ferramentas de consulta de DNS

Além das ferramentas de linha de comandos como as discutidas acima, existem muitas ferramentas de consulta de DNS online que fornecem uma interface gráfica de utilizador (GUI) para consultar o DNS. Um bom exemplo é o nosso scanner de IP seguro e gratuito, que lhe permite realizar consultas de DNS normais, consultas de MX, consultas de NS, consultas de CNAME e consultas de TXT.

Consulta de DNS

Também pode realizar consultas de DNS inverso (consulta de IP).

Consulta de DNS inverso

Pensamentos finais

No fundo, o DNS é apenas uma lista telefónica complicada e automatizada. Torna a internet utilizável para os seres humanos, mas pode ser (e é) utilizada de forma abusiva pelos governos para espiar os seus cidadãos e censurar o que eles veem. A melhor forma de contornar estes abusos do DNS é utilizar um serviço de VPN como o Proton VPN.

Um serviço de VPN resolve de forma segura as suas consultas de DNS em vez do seu ISP, e a maioria dos serviços de VPN conceituados assume como sua missão proteger a sua privacidade.

Claro que uma VPN também oferece muitos outros benefícios, tais como ocultar o seu endereço IP real dos sítios web que visita, fornecer uma proteção melhorada contra a capacidade dos ISP de monitorizarem ou censurarem a sua atividade na internet, poder ver em streaming o seu conteúdo favorito quando viaja, e muito mais.

Saiba mais sobre os benefícios de utilizar uma VPN