DNS over HTTPS berbanding DNS over TLS
DNS over HTTPS (DoH) dan DNS over TLS (DoT) menyulitkan pertukaran DNS antara klien dengan penyelesai DNS yang dipilihnya. Kedua-duanya melindungi bahagian laluan ini daripada diintip atau diubah dengan mudah dalam rangkaian. Namun, tiada satu pun yang menjadikan lawatan anda ke laman web tidak kelihatan sepenuhnya atau tanpa nama.
Bagaimana permintaan dihantar
DoH memetakan pertanyaan dan respons DNS kepada pertukaran HTTPS; protokol ini ditakrifkan dalam RFC 8484. DoT pula membawa mesej DNS dalam sambungan TLS khusus, seperti yang ditetapkan dalam RFC 7858. Kedua-duanya memerlukan sokongan pada klien dan penyelesai, serta pengesahan identiti penyelesai. Tetapan bernama “DNS selamat” semata-mata tidak memberitahu anda penyedia mana yang dipilih atau sama ada peranti boleh kembali menggunakan DNS biasa.
DoH lazimnya terbina dalam pelayar atau aplikasi dan boleh menggunakan infrastruktur HTTPS biasa. DoT biasanya dikonfigurasikan oleh sistem pengendalian atau rangkaian dan menggunakan sambungan DNS tersendiri. Ini corak yang biasa, bukan jaminan: tingkah laku sebenar bergantung pada peranti, aplikasi dan dasar rangkaian. Nombor port atau label protokol tidak membuktikan sesuatu perkhidmatan boleh dipercayai.
Apa yang masih kelihatan
Pengendali penyelesai yang dipilih menerima pertanyaan yang diperlukan untuk menjawab. Laman web destinasi melihat sambungan, manakala pihak lain dalam rangkaian mungkin melihat alamat IP sambungan dan metadata lain. DNS tersulit tidak memadam sejarah pelayar, kuki, log masuk akaun atau maklumat yang anda serahkan kepada laman. Untuk membuat keputusan berkaitan privasi, teliti keseluruhan laluan sambungan dan dasar data penyelesai tersebut.
DNSSEC mempunyai tujuan yang berbeza. Ia boleh mengesahkan asal usul dan integriti data DNS yang ditandatangani apabila rantaian kepercayaan telah dikonfigurasikan, tetapi tidak menyulitkan pertanyaan antara klien dengan penyelesai. Penyelesai DoH atau DoT juga boleh mengesahkan DNSSEC. Anggap mekanisme ini saling melengkapi, bukan boleh ditukar ganti. Anda juga boleh membuat semakan lanjut dengan semakan masa respons DNS 2IP.
Semak konfigurasi sebenar
Ketahui sama ada pelayar menggunakan konfigurasi DNS sistem atau penyelesai tersulitnya sendiri. Bandingkan jawapan yang dijangka dengan semakan konfigurasi domain 2IP dan pertanyaan melalui penyelesai yang dipilih. Perbezaan tidak semestinya bermakna berlaku kebocoran: CDN mungkin menyesuaikan jawapan mengikut lokasi penyelesai dan keadaan lain. Uji juga apa yang berlaku apabila penyelesai tersulit tidak tersedia.
Dalam rangkaian terurus, penapisan, nama dalaman dan dasar keselamatan mungkin mewajibkan penyelesai tertentu. Menukar DNS sesuka hati boleh merosakkan akses kepada sumber dalaman. Sebelum melaraskan tetapan, kenal pasti siapa yang mengendalikan rangkaian, nama mana yang mesti dapat diselesaikan dan sama ada laluan DNS alternatif dibenarkan.
Pilih dengan teliti
Nilai ketersediaan penyedia, cara data dikendalikan, pengesahan DNSSEC dan tingkah laku ketika gagal, bukan sekadar satu janji privasi. Uji laman web biasa dan nama dalaman yang diperlukan selepas membuat perubahan. Jika punca sebenar ialah rekod autoritatif yang salah, menukar kaedah pengangkutan DNS tidak akan membetulkannya.