HTTPS üzerinden DNS (DoH) ve TLS üzerinden DNS (DoT)
HTTPS üzerinden DNS (DoH) ve TLS üzerinden DNS (DoT), istemci ile seçtiği çözümleyici arasındaki DNS trafiğini şifreler. İkisi de yolun bu bölümünü ağdaki sıradan izlemeye ve değiştirmeye karşı korur. Yine de hiçbiri site ziyaretlerinizi tamamen görünmez ya da anonim kılmaz.
İstekler nasıl iletilir
DoH, DNS sorgularını ve yanıtlarını HTTPS istekleri ve yanıtları içinde taşır; protokolü RFC 8484 tanımlar. DoT, DNS mesajlarını RFC 7858 ile belirtilen ayrı bir TLS bağlantısı içinde taşır. İkisinin de çalışması için hem istemcinin hem çözümleyicinin protokolü desteklemesi, çözümleyicinin kimliğinin de doğrulanması gerekir. “Güvenli DNS” adlı bir ayar tek başına, hangi sağlayıcının seçildiğini ya da cihazın sıradan DNS'e geri dönüp dönemeyeceğini göstermez.
DoH çoğunlukla bir tarayıcıya veya uygulamaya yerleşiktir ve sıradan HTTPS altyapısını kullanabilir. DoT genellikle işletim sistemi veya ağ tarafından yapılandırılır ve ayrı bir DNS bağlantısı kullanır. Bunlar yaygın örüntülerdir, kesin kural değil: gerçek davranış cihaza, uygulamaya ve ağ politikasına bağlıdır. Ne bir port numarası ne de bir protokol etiketi bir hizmetin güvenilir olduğunu kanıtlar.
Neler görünür kalır
Seçtiğiniz çözümleyicinin işletmecisi, yanıt verebilmek için sorgularınızı alır. Hedef site bağlantıyı görür; ağdaki diğer taraflar da bağlantının IP adreslerini ve başka meta verileri görebilir. Şifreli DNS tarayıcı geçmişini, çerezleri, hesap oturumlarını veya bir siteye gönderdiğiniz bilgileri silmez. Gizlilik kararları için bağlantı yolunun tamamını ve çözümleyicinin veri politikasını inceleyin.
DNSSEC farklı bir amaca hizmet eder. Güven zinciri yapılandırıldığında imzalı DNS verilerinin kaynağını ve bütünlüğünü doğrulayabilir; istemciden çözümleyiciye giden sorguları şifrelemez. Bir DoH veya DoT çözümleyicisi DNSSEC doğrulaması da yapabilir. Bu mekanizmaları birbirinin yerine geçen değil, birbirini tamamlayan araçlar olarak görün. 2IP DNS yanıt süresi kontrolü de ek bir doğrulama sağlar.
Gerçek yapılandırmayı kontrol edin
Tarayıcının sistem DNS yapılandırmasını mı yoksa kendi şifreli çözümleyicisini mi kullandığını öğrenin. Beklenen yanıtı hem 2IP alan adı yapılandırma kontrolüyle hem de seçilen çözümleyiciye yapılan bir sorguyla karşılaştırın. Farklılıklar her zaman bir sızıntı anlamına gelmez: bir CDN yanıtları çözümleyicinin konumuna ve diğer koşullara göre uyarlayabilir. Şifreli çözümleyici kullanılamadığında ne olduğunu da test edin.
Yönetilen bir ağda filtreleme, dahili adlar ve güvenlik politikası belirli bir çözümleyiciyi zorunlu kılabilir. Gelişigüzel yapılan bir DNS değişikliği dahili kaynaklara erişimi bozabilir. Ayarları değiştirmeden önce ağı kimin işlettiğini, hangi adların çözümlenmesi gerektiğini ve alternatif bir DNS yoluna izin verilip verilmediğini belirleyin.
Bilinçli seçim yapın
Sağlayıcıyı tek bir gizlilik vaadine göre değil; erişilebilirliğine, verileri nasıl işlediğine, DNSSEC doğrulamasına ve arıza anındaki davranışına göre değerlendirin. Bir değişiklik yaptıktan sonra sıradan web sitelerini ve gerekli dahili adları test edin. Asıl sorun hatalı bir yetkili kayıtsa DNS aktarım yöntemini değiştirmek bunu düzeltemez.