Fugas de DNS ao utilizar uma VPN

Todas as aplicações Proton VPN incluem proteção contra fugas de DNS concebida para evitar que os sítios web e afins que visita na internet identifiquem o seu endereço DNS real. No entanto, existem algumas circunstâncias limitadas que permitem ao seu computador contornar estas proteções, o que pode resultar na possibilidade de terceiros verem o endereço IP do servidor DNS que está realmente a utilizar.

Neste artigo, explicamos o que é o DNS, como funciona e por que motivo configurar manualmente as suas definições de DNS pode impedir que a nossa proteção contra fugas de DNS funcione corretamente.

O que é o DNS?

A cada ligação à internet é atribuído um identificador numérico exclusivo conhecido como endereço de protocolo de internet (IP). O cérebro humano não foi concebido para memorizar longas sequências de números, pelo que identificamos os recursos da internet (como sítios web e servidores de jogos) através de sequências de texto mais fáceis de memorizar para os humanos, conhecidas como nomes de domínio.

O Domain Name System (DNS) é como uma lista telefónica global que traduz URLs fáceis de memorizar para os utilizadores nos endereços IP que os computadores utilizam.

Assim, por exemplo, se o URL example.com tiver o endereço IP 123.456.789.012, introduzir 123.456.789.012 na barra de endereço web do seu navegador levaria-o a example.com. (Na prática, um endereço IP pode corresponder a vários sítios web, e um único domínio pode corresponder a vários endereços IP. Mas, em essência, é isto que o DNS faz.)

O DNS e a privacidade

A resolução de DNS é o processo de tradução de um domínio para o seu endereço IP correspondente. É realizada por servidores DNS, que por predefinição são operados pelo seu provedor de serviços de internet (ISP).

Quase todos os ISPs do mundo mantêm registos das consultas de DNS efetuadas pelos seus clientes, permitindo-lhes conhecer o seu histórico de navegação. Embora os ISPs possam monitorizar a sua atividade na internet de outras formas, a maioria limita-se a manter simplesmente os registos de DNS.

Embora não seja habitual por predefinição, é possível que os sítios web que visita vejam o endereço IP do servidor DNS utilizado para resolver a consulta de DNS que o direciona para o sítio deles. Munidos deste conhecimento, eles (ou qualquer outra pessoa que observe o sítio web) podem então contactar o seu ISP e pedir-lhe que revele o endereço IP de qualquer cliente que tenha feito a consulta de DNS.

Como a resolução de DNS é efetuada pelo seu ISP, saber o endereço IP do servidor DNS que utilizou permite aos sítios web identificar em que país se encontra. Se estiver a utilizar uma VPN(nova janela) ou um proxy para ocultar o seu endereço IP real, mas o endereço IP do servidor DNS do seu ISP estiver exposto, este desajuste pode permitir que os sítios web saibam que está a tentar ocultar a sua identidade real.

DNS, Proton VPN e proteção contra fugas de DNS

O Proton VPN aborda esta ameaça executando os nossos próprios servidores DNS. Tal como acontece com todo o restante tráfego de internet, as consultas de DNS são encaminhadas através do túnel de VPN para serem resolvidas nos nossos servidores.

Para o mundo exterior, o seu endereço DNS será diferente do endereço IP do seu servidor VPN, mas pertencerá ao mesmo centro de dados. Por conseguinte, corresponderá de perto à localização física do servidor VPN. (Note que as ligações IPv6 são simplesmente bloqueadas neste momento, o que não tem qualquer efeito na sua experiência de internet.)

O Proton VPN não regista as consultas de DNS e, de acordo com a legislação suíça, não pode ser obrigado a começar a registá-las. Também não registamos os endereços IP dos nossos utilizadores.

Saiba mais sobre o modelo de ameaça do Proton VPN

Todas as nossas aplicações implementam proteção contra fugas de DNS, utilizando regras de firewall e outras técnicas específicas de cada plataforma para garantir que nenhum tráfego de internet (incluindo consultas de DNS) possa entrar ou sair do seu dispositivo fora da interface da VPN.

No entanto, existe um número limitado de circunstâncias em que as consultas de DNS podem ser encaminhadas para fora do túnel de VPN.

Serviços de DNS de terceiros

Configurar manualmente as definições globais de DNS do seu dispositivo para utilizar um serviço de DNS de terceiros, como o Google Public DNS, o Cloudflare ou o OpenNIC, aumenta a probabilidade de algo correr mal, uma vez que é possível que as definições personalizadas se sobreponham às nossas medidas de prevenção de fugas de DNS.

Por conseguinte, recomendamos vivamente que não utilize serviços de DNS de terceiros com o Proton VPN. Abaixo encontram-se guias para desativar configurações de DNS personalizadas em todas as principais plataformas.

Windows 10

1. Aceda a Iniciar → Definições → Rede e Internet → a sua interface de rede (por exemplo, Wi-Fi ou Ethernet) → Definições relacionadas → Alterar opções do adaptador.

2. Clique com o botão direito do rato na sua interface de rede → Propriedades → Protocolo IP Versão 4 (TCP/IPv4) → Propriedades.

3. Certifique-se de que a opção Obter o endereço do servidor DNS automaticamente está selecionada e, em seguida, clique em OK.

4. Se tiver uma ligação IPv6 (ou se não tiver a certeza se tem), repita os passos 2 e 3 para Protocolo IP Versão 6 (TCP/IPv6).

macOS

Abra a aplicação Definições e aceda a Rede → selecione a sua interface de rede (por exemplo, Wi-Fi ou Ethernet) → Detalhes… → separador DNS. Selecione quaisquer servidores DNS de terceiros (se existirem) e, em seguida, clique no botão – para os remover. Clique em OK quando terminar.

Linux

Cada distribuição Linux e ambiente de trabalho oferece uma interface de utilizador diferente (embora muitas vezes muito semelhante) para alterar as definições de DNS. No Ubuntu GNOME, por exemplo:

1. Aceda a Mostrar aplicações → Todas → Definições → Rede e clique no ícone de engrenagem junto à sua interface de rede.

2. Aceda aos separadores IPv4 e IPv6. Em DNS, certifique-se de que o interruptor Automático está ativado e elimine quaisquer entradas de DNS que veja. Clique em Aplicar quando terminar.

Android 9+

O Android 9+ oferece o DNS privado, uma funcionalidade de todo o sistema que protege automaticamente a ligação aos servidores DNS do seu ISP utilizando DoT (se for suportado pelo seu ISP – consulte mais detalhes abaixo), ou que lhe permite especificar um fornecedor de DNS personalizado. Para desativar o DNS privado:

1. Abra a aplicação Definições e aceda a Ligações → Mais definições de ligação → DNS privado → Desativado.

Chrome OS

Aceda a Definições → selecione a sua interface de rede (por exemplo, Wi-Fi ou Ethernet. Se estiver a utilizar Wi-Fi, também precisará de selecionar uma rede conhecida) → Avançadas → Servidores de nomes e certifique-se de que a opção Servidores de nomes automáticos está selecionada.

iOS e versões anteriores do Android

A única forma de alterar as definições globais de DNS no iOS/iPadOS e em versões do Android anteriores ao Android 9 Pie é utilizar uma aplicação de terceiros que cria uma interface de VPN fictícia para funcionar.

Uma vez que só é possível ter uma ligação VPN de cada vez, não conseguirá executar estas aplicações em simultâneo com o Proton VPN de qualquer forma.

DNS sobre HTTPS

DNS over HTTPS(nova janela) (DoH) é um padrão de encriptação que encripta as consultas DNS para o servidor de DNS. O DoH só funciona se o padrão for suportado pelo fornecedor de DNS, mas é atualmente disponibilizado por um número crescente de serviços de DNS de terceiros (embora raramente por ISPs).

Infelizmente, isto agrava o problema da utilização de serviços de DNS de terceiros, porque a encriptação impede o nosso software de conseguir ver as consultas DNS. Isto torna muito difícil bloqueá-las ou reencaminhá-las.

Por conseguinte, recomendamos vivamente que não utilize o DoH (e o padrão semelhante DNS over TLS) com a Proton VPN. Ao utilizar as nossas aplicações, todas as consultas DNS são enviadas através da ligação VPN para os nossos servidores, sendo assim encriptadas de forma segura sem a necessidade de DoH ou DoT.

Nos sistemas de desktop, o DoH é normalmente implementado no seu navegador e é suportado pela maioria dos navegadores modernos (exceto o Safari). O DoH e o DoT são suportados em dispositivos móveis através do DNS privado do Android ou de aplicações autónomas (conforme descrito acima).

Como desativar o DoH no seu navegador de desktop

Firefox

Aceda a ≡ → Definições → Privacidade e Segurança → DNS over HTTPS → Ativar DNS seguro utilizando: e selecione desativado.

Chrome

Clique no ícone de três pontos com a elipse vertical → Definições → Privacidade e Segurança → Privacidade e segurança → Segurança → Avançadas → Selecionar fornecedor de DNS e certifique-se de que Predefinição do SO (quando disponível) está selecionado no menu pendente.

(Num Chromebook, aceda a Definições → Privacidade e segurança → Avançadas)

Edge Chromium

Clique no ícone de três pontos com a elipse horizontal → Definições → ≡ → Privacidade, pesquisa e serviços → Segurança e certifique-se de que Utilizar DNS seguro para especificar como procurar o endereço de rede para sítios web está desativado.

Brave

Aceda a ≡ → Definições → Privacidade e Segurança→ → Segurança→ Avançadas e certifique-se de que Utilizar DNS seguro está desativado.

A sua ligação ao servidor VPN foi interrompida

Se a ligação entre o seu dispositivo e o servidor VPN for interrompida, poderá aceder à internet sem a proteção da VPN. Entre outras coisas, isto significa que as consultas DNS poderão ser enviadas para o servidor de DNS predefinido do seu sistema (que é provavelmente gerido pelo seu ISP).

Este problema é fácil de resolver ao ativar a funcionalidade de interruptor de segurança, que está agora disponível em todas as nossas aplicações.

Como verificar a existência de fugas de DNS

1. Abra a nossa aplicação e ligue-se a um dos nossos servidores. Para efeitos de execução de um teste de fuga de DNS, a ligação a uma VPN num país diferente torna as fugas de DNS mais fáceis de detetar.

2. Visite DNSleaktest.com(nova janela) no seu navegador. Deverá ver o endereço IP do servidor VPN ao qual se ligou. Escolha um Teste padrão ou um Teste alargado. Para os efeitos deste guia, escolheremos um teste alargado.

3. Aguarde que o teste seja concluído e observe os resultados. Se o endereço IP apresentado for o do seu ISP real, significa que tem uma fuga de DNS. Consulte acima as soluções.

Note que a Proton VPN tem parcerias com fornecedores de infraestrutura em todo o mundo, pelo que o ISP pode ser um fornecedor externo. Desde que o endereço IP não pertença ao seu ISP real, não tem uma fuga de DNS.