Kurš DNS šifrēšanas protokols vislabāk aizsargā jūsu tīmekļa trafiku?

Domēna vārdu sistēmu (DNS) daudzi uzskata par interneta tālruņu grāmatu, kas pārvērš domēna nosaukumus datorlasāmā informācijā, piemēram, IP adresēs .

Ikreiz, kad adreses joslā ierakstāt domēna nosaukumu, DNS automātiski pārvērš to par atbilstošo IP adresi. Jūsu pārlūkprogramma izmanto šo informāciju, lai izgūtu datus no sākotnējā servera un ielādētu vietni.

Taču kibernoziedznieki bieži vien var pārraudzīt DNS trafiku, tādēļ šifrēšana ir nepieciešama, lai jūsu tīmekļa pārlūkošana būtu privāta un droša.

Mūsdienās tiek izmantoti vairāki DNS šifrēšanas protokoli. Šos šifrēšanas protokolus var izmantot, lai novērstu kibernoziegumu, šifrējot datplūsmu HTTPS protokolā, izmantojot transporta slāņa drošības (TLS) savienojumu.

1. DNSCrypt

DNSCrypt ir tīkla protokols, kas šifrē visu DNS trafiku starp lietotāja datoru un publisko nosaukumu serveri. Protokols izmanto publiskās atslēgas infrastruktūru (PKI), lai pārbaudītu jūsu DNS servera un klientu autentiskumu.

Tas izmanto divas atslēgas, publisko atslēgu un privāto atslēgu, lai autentificētu saziņu starp klientu un serveri. Kad tiek uzsākts DNS vaicājums, klients šifrē vaicājumu, izmantojot servera publisko atslēgu.

Pēc tam šifrētais vaicājums tiek nosūtīts serverim, kas atšifrē vaicājumu, izmantojot savu privāto atslēgu. Tādā veidā DNSCrypt nodrošina, ka saziņa starp klientu un serveri vienmēr tiek autentificēta un šifrēta.

DNSCrypt ir salīdzinoši vecs tīkla protokols. Tas lielā mērā ir aizstāts ar DNS-over-TLS (DoT) un DNS-over-HTTPS (DoH), pateicoties plašākam atbalstam un spēcīgākām drošības garantijām, ko nodrošina šie jaunākie protokoli.

2. DNS, izmantojot TLS

DNS-over-TLS šifrē jūsu DNS vaicājumus, izmantojot transporta slāņa drošību (TLS). TLS nodrošina, ka jūsu DNS vaicājumi ir pilnībā šifrēti, novēršot Man-in-the-Middle (MITM) uzbrukumus .

Ja izmantojat DNS over-TLS (DoT), jūsu DNS vaicājumi tiek nosūtīti uz DNS over-TLS risinātāju, nevis uz nešifrētu atrisinātāju. DNS over-TLS atrisinātājs atšifrē jūsu DNS vaicājumu un jūsu vārdā nosūta to autoritatīvajam DNS serverim.

DoT noklusējuma ports ir TCP ports 853. Kad izveidojat savienojumu, izmantojot DoT, gan klients, gan atrisinātājs veic digitālu "rokasspiedienu". Pēc tam klients nosūta DNS vaicājumu pa šifrētu TLS kanālu atrisinātājam.

DNS atrisinātājs apstrādā vaicājumu, atrod atbilstošo IP adresi un nosūta atbildi atpakaļ klientam, izmantojot šifrētu kanālu. Klients saņem šifrētu atbildi, kur tā tiek atšifrēta un klients izmanto IP adresi, lai izveidotu savienojumu ar vēlamo vietni vai pakalpojumu.

3. DNS, izmantojot HTTPS

HTTPS ir drošā HTTP versija, ko pašlaik izmanto, lai piekļūtu vietnēm. Tāpat kā DNS-over-TLS, DNS-over-HTTPS (DoH) arī šifrē visu informāciju, pirms tā tiek nosūtīta tīklā.

Lai gan mērķis ir vienāds, starp DoH un DoT ir dažas būtiskas atšķirības. Vispirms DoH nosūta visus šifrētos vaicājumus, izmantojot HTTPS, nevis tieši izveido TLS savienojumu, lai šifrētu trafiku.

Otrkārt, tas izmanto 403. portu vispārējai saziņai, padarot to grūti atšķirt no vispārējās tīmekļa trafika. DoT izmanto portu 853, kas ļauj daudz vieglāk identificēt trafiku no šī porta un bloķēt to.

DoH ir pieredzējis plašāku ieviešanu tādās tīmekļa pārlūkprogrammās kā Mozilla Firefox un Google Chrome, jo tā izmanto esošo HTTPS infrastruktūru. DoT biežāk izmanto operētājsistēmas un specializēti DNS risinātāji, nevis integrē tieši tīmekļa pārlūkprogrammās.

Divi galvenie iemesli, kāpēc DoH tiek plaši izmantots, ir tas, ka to ir daudz vieglāk integrēt pašreizējās tīmekļa pārlūkprogrammās, un, kas ir vēl svarīgāk, tas nemanāmi saplūst ar parasto tīmekļa trafiku, padarot bloķēšanu daudz grūtāku.

4. DNS, izmantojot QUIC

Salīdzinot ar citiem DNS šifrēšanas protokoliem šajā sarakstā, DNS-over-QUIC (DoQ) ir salīdzinoši jauns. Šis ir jauns drošības protokols, kas nosūta DNS vaicājumus un atbildes, izmantojot QUIC (ātro UDP interneta savienojumu) transporta protokolu.

Mūsdienās lielākā daļa interneta trafika ir balstīta uz pārraides kontroles protokolu (TCP) vai lietotāja datugrammu protokolu (UDP), un DNS vaicājumi bieži tiek nosūtīti, izmantojot UDP. Tomēr QUIC protokols tika izveidots, lai pārvarētu dažus TCP/UDP trūkumus, palīdzot samazināt latentumu un uzlabot drošību.

QUIC ir salīdzinoši jauns  Google izstrādāts transporta protokols , kas paredzēts, lai nodrošinātu labāku veiktspēju, drošību un uzticamību nekā tradicionālie protokoli, piemēram, TCP un TLS. QUIC apvieno gan TCP, gan UDP funkcijas, un tajā ir iebūvēta šifrēšana, kas ir līdzīga TLS.

Tā kā tas ir jaunāks, DoQ piedāvā vairākas priekšrocības salīdzinājumā ar iepriekš minētajiem protokoliem. Iesācējiem DoQ piedāvā ātrāku veiktspēju, samazinātu kopējo latentumu un uzlabotu savienojuma laiku. Tas nodrošina ātrāku DNS izšķirtspēju (DNS laiks, lai atrisinātu IP adreses). Galu galā tas nozīmē, ka vietnes jums tiek pasniegtas ātrāk.

Vēl svarīgāk ir tas, ka DoQ ir izturīgāks pret datu zudumu salīdzinājumā ar TCP un UDP, jo atšķirībā no protokoliem, kuru pamatā ir TCP, tas var atgūt zaudētās paketes, neprasot pilnīgu atkārtotu pārsūtīšanu.

Turklāt ir arī daudz vieglāk migrēt savienojumus, izmantojot QUIC. QUIC vienā savienojumā iekapsulē vairākus pavedienus, samazinot savienojumam nepieciešamo cilpu skaitu un tādējādi uzlabojot veiktspēju. Tas var būt noderīgi arī, pārslēdzoties starp WiFi un mobilajiem tīkliem.

QUIC joprojām nav plaši izmantots salīdzinājumā ar citiem protokoliem. Taču tādi uzņēmumi kā Apple, Google un Meta jau izmanto QUIC, bieži veidojot savas versijas (Microsoft izmanto MsQUIC visai savai SMB trafikai), kas sola labu nākotni.

Paredzams, ka jaunās tehnoloģijas būtiski mainīs veidu, kā mēs piekļūstam tīmeklim. Piemēram, daudzi uzņēmumi tagad izmanto blokķēdes tehnoloģijas , lai piedāvātu drošākus domēna nosaukumu piešķiršanas protokolus, piemēram, HNS un Unstoppable Domains.