DNS преобразует удобные для человека доменные имена в понятные компьютерам IP-адреса. Конфиденциальный DNS шифрует DNS-запросы, отправляемые вашим устройством на DNS-сервер. При использовании со сторонним DNS-сервисом, который уважает вашу конфиденциальность, конфиденциальный DNS может повысить вашу конфиденциальность в сети. Однако конфиденциальный DNS не требуется при использовании VPN и фактически может сделать ваше VPN-подключение менее безопасным.
В этой статье мы рассмотрим, что такое конфиденциальный DNS, как он помогает защитить вашу конфиденциальность и как включить его на вашем устройстве, а также почему вам не следует использовать его с VPN.
- Что такое DNS?
- Почему DNS создает проблемы с конфиденциальностью
- Что такое режим конфиденциального DNS?
- Протоколы конфиденциального DNS
- Конфиденциальный DNS не так конфиденциален, как VPN
- Не используйте конфиденциальный DNS вместе с VPN
- Как использовать конфиденциальный DNS
Что такое DNS?
Система доменных имен (DNS) сопоставляет удобные для человека доменные имена с соответствующими числовыми IP-адресами, понятными компьютерам.
Например, веб-сайт Proton VPN использует доменное имя protonvpn.com, которое соответствует IP-адресу 185.159.159.140. Когда вы вводите www.protonvpn.com в адресную строку браузера, доменное имя должно быть преобразовано в соответствующий IP-адрес, чтобы компьютеры могли его распознать.
Этот процесс преобразования обычно выполняется специальными DNS-серверами, которыми управляет ваш интернет-провайдер (ISP).
Почему DNS создает проблемы с конфиденциальностью и цензурой
Тот, кто обрабатывает ваши DNS-запросы, может видеть, какие веб-сайты вы посещаете (но не то, что вы на них делаете). Если вы не используете VPN или не измените настройки DNS вручную, ваши DNS-запросы будет обрабатывать ваш интернет-провайдер.
Важно понимать, что по умолчанию ваш интернет-провайдер может отслеживать ваши действия в сети, даже если он не обрабатывает ваши DNS-запросы. Тем не менее, для него это самый простой (и, следовательно, самый дешевый) способ вести журнал вашей истории посещений.
Большинство интернет-провайдеров, которые регистрируют историю посещений своих клиентов (а это большинство провайдеров), идут по пути наименьшего сопротивления и ограничиваются ведением журнала записей DNS клиентов. В большинстве юрисдикций этот минимальный уровень логирования позволяет интернет-провайдерам выполнять любые юридические обязательства по ведению журнала истории посещений пользователей.
Точно так же, когда правительства хотят подвергнуть цензуре интернет-контент по социальным, религиозным, политическим или «моральным» соображениям, они требуют от местных интернет-провайдеров обеспечить блокировку. И самый простой способ сделать это — блокировать DNS-запросы к определенным веб-сайтам и приложениям. Использование международного стороннего DNS-резолвера позволяет обойти эти простые (но эффективные) блокировки цензуры.
Граффити в Стамбуле, призывающее людей использовать DNS-серверы Google для обхода правительственных мер по ужесточению цензуры в 2014 году(новое окно)
Что такое режим конфиденциального DNS?
В отличие от большинства подключений к веб-сайтам, которые защищены протоколом HTTPS(новое окно), DNS-запросы обычно отправляются в виде незашифрованного простого текста. Это значит, что любой, кто имеет доступ к DNS-запросам (например, ваш интернет-провайдер), может прочитать их, даже если они обрабатываются сторонней службой.
Если бы интернет-провайдер приложил дополнительные усилия для слежки за своими клиентами (что от него может потребовать более авторитарное правительство), он мог бы просто отслеживать и записывать в журнал DNS-запросы к сторонним резолверам. Используя более сложные технологии, он также мог бы осуществлять цензуру, фильтруя эти запросы.
Конфиденциальный DNS предотвращает это, шифруя ваши DNS-запросы при их передаче между вашим устройством и сторонним DNS-сервером. Это гарантирует, что ваш интернет-провайдер (или любой другой наблюдатель за вашим интернет-подключением) не сможет увидеть ваши DNS-запросы.
Таким образом, конфиденциальный DNS представляет собой значительное улучшение конфиденциальности и безопасности DNS по сравнению с традиционными незашифрованными DNS-запросами. Однако он также имеет ряд ограничений, которые мы обсудим позже.
Протоколы конфиденциального DNS
Конфиденциальный DNS работает на базе одного из трех протоколов безопасности: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) и DNSCrypt.
DNS-over-TLS
DoT шифрует DNS-запросы с помощью протокола Transport Layer Security(новое окно) (TLS), гарантируя, что данные нельзя будет легко перехватить или изменить. DoT работает через порт 853, что облегчает сетям блокировку или мониторинг именно трафика DoT, поскольку он не смешивается с другими типами трафика.
Это делает DoT предпочтительным выбором в сетях, которые хотят контролировать проходящий через них трафик. DoT также проще реализовать на уровне сервера, чем DoH.
DNS-over-HTTPS
DoH использует HTTPS — протокол, защищающий всю конфиденциальную информацию в Интернете, для шифрования DNS-запросов. Как и DoT, DoH использует TLS для шифрования DNS-запросов, но подключения DoH осуществляются через порт 443, поэтому они смешиваются с обычным веб-трафиком HTTPS. Это затрудняет для наблюдателей отличие DNS-трафика от других видов веб-трафика, что делает DoH более конфиденциальным и устойчивым к цензуре, чем DoT.
DNSCrypt
Самый старый протокол конфиденциального DNS, DNSCrypt, очень похож на DoH, но имеет некоторые дополнительные функции, превосходящие DoH. Однако DNSCrypt не имеет широкой поддержки со стороны операционных систем и браузеров, а потому требует запуска стороннего программного обеспечения(новое окно).
Что же из этого лучше? Все эти протоколы конфиденциального DNS предлагают огромные улучшения в плане конфиденциальности и безопасности по сравнению с отказом от использования конфиденциального DNS и практически не влияют на скорость работы в сети. У некоторых сетей есть веские причины предпочесть DoT, но для большинства конечных пользователей повышенная конфиденциальность, которую предлагает DoH, делает его лучшим вариантом из двух.
Во многих отношениях и вопреки тому, что он является самым старым вариантом, DNSCrypt все еще остается лучшим решением с точки зрения конфиденциальности. Однако отсутствие поддержки во всей экосистеме DNS ограничивает его привлекательность. В оставшейся части этой статьи мы сосредоточимся на DoT и DoH, так как эти протоколы не требуют от вас загрузки дополнительного программного обеспечения.
Конфиденциальный DNS не так конфиденциален, как VPN
Конфиденциальный DNS предлагает определенные преимущества в плане конфиденциальности, но они работают только тогда, когда интернет-провайдеры (часто по указанию правительств) выбирают самые простые пути и не прикладывают реальных усилий для цензуры контента или слежки за вами. Хотя это и требует дополнительных усилий, интернет-провайдер может отслеживать ваши подключения для определения истории посещений и напрямую блокировать трафик к определенным IP-адресам.
Чтобы интернет-провайдер не мог видеть, что вы делаете в сети (и, как следствие, потенциально подвергать это цензуре), вам следует использовать VPN. Он шифрует подключение между вашим устройством и VPN-сервером, поэтому провайдер не может видеть содержимое ваших данных. DNS-запросы направляются через зашифрованное подключение (также известное как VPN-туннель) для обработки вашим VPN-провайдером, поэтому ваш интернет-провайдер не сможет узнать, какие веб-сайты или другие ресурсы в Интернете вы посещаете.
Точно так же веб-сайты, которые вы посещаете, не могут видеть ваш настоящий IP-адрес. Всё, что они видят, — это IP-адрес сервера VPN.
Таким образом, VPN обеспечивает гораздо большую конфиденциальность, чем служба конфиденциального DNS.
Не используйте конфиденциальный DNS вместе с VPN
Все надежные VPN-провайдеры имеют собственные DNS-серверы. При использовании VPN DNS-запросы направляются через VPN-туннель и обрабатываются VPN-службой. Поскольку VPN-туннель зашифрован, DNS-запросы шифруются без необходимости использования протокола конфиденциального DNS.
Кроме того, настройка любой сторонней службы DNS в вашей системе повышает вероятность того, что DNS-запросы будут направляться за пределы VPN-туннеля. Конфиденциальный DNS увеличивает шансы на это, поскольку шифрование DNS-запросов усложняет работу средств защиты DNS, используемых программным обеспечением VPN для обеспечения их надлежащей маршрутизации через VPN-туннель.
Поэтому при использовании VPN конфиденциальный DNS не только не нужен, но и может вызвать утечку DNS.
Как использовать конфиденциальный DNS
Чтобы использовать конфиденциальный DNS, сначала необходимо выбрать DNS-резолвер, поддерживающий DoT или DoH (также можно запустить собственный DNS-сервер, но это требует серьезной технической подготовки). Популярные DNS-службы, которые поддерживают конфиденциальный DNS и заявляют об уважении к конфиденциальности, включают:
- Cloudflare 1.1.1.1 — эта крупная коммерческая служба DNS собирает только «анонимизированные данные DNS-запросов, отправляемые в резолвер Cloudflare». Cloudflare поддерживает DoT и DoH.
- Quad9 — некоммерческая служба DNS, которая не собирает никакую личную информацию о своих пользователях. Что важно, IP-адреса пользователей не сохраняются при выполнении запросов. Quad9 поддерживает DoH.
- OpenNIC — позиционирующий себя как децентрализованный, открытый, не подвергающийся цензуре и демократичный DNS-провайдер, OpenNIC представляет собой совокупность управляемых добровольцами DNS-серверов, расположенных по всему миру. В отличие от большинства служб DNS, где один DNS-адрес (например, 1.1.1.1) подключает вас к сети DNS-серверов, в OpenNIC вы сами выбираете отдельный DNS-сервер для подключения. Политика ведения журналов и поддержка конфиденциального DNS (часто в виде более старого протокола DNSCrypt) полностью зависят от того, кто управляет выбранным вами DNS-сервером.
Как только вы выберете DNS-провайдера, у вас появится два варианта. Вы можете настроить свою операционную систему (ОС) для маршрутизации всех DNS-запросов к выбранному провайдеру или настроить только браузер для использования службы конфиденциального DNS.
Все современные операционные системы поддерживают DoT или DoH (или оба протокола), как и все современные браузеры. По умолчанию Firefox автоматически подключается к серверам Cloudflare 1.1.1.1 с помощью DoH.
Заключительные мысли о конфиденциальном DNS
Конфиденциальный DNS гораздо более приватный, безопасный и устойчивый к цензуре, чем обычный незашифрованный DNS, и по крайней мере некоторые DNS-провайдеры заботятся о вашей конфиденциальности гораздо больше, чем ваш интернет-провайдер. Поэтому, если вы не используете VPN, вам следует настроить свою систему или браузер на использование надежной службы DNS, которая поддерживает конфиденциальный DNS.
Однако VPN обеспечивает гораздо большую конфиденциальность и гораздо более эффективен в борьбе с цензурой, чем использование конфиденциального DNS. Просто имейте в виду, что вам не следует (и нет необходимости) использовать конфиденциальный DNS при использовании VPN.
