Kateri šifrirni protokol DNS najbolje ščiti vaš spletni promet?

Domain Name System (DNS) mnogi menijo, da je telefonski imenik interneta, ki pretvarja imena domen v računalniško berljive informacije, kot so naslovi IP .

Kadarkoli vpišete ime domene v naslovno vrstico, ga DNS samodejno pretvori v ustrezen naslov IP. Vaš brskalnik uporablja te podatke za pridobivanje podatkov iz izvornega strežnika in nalaganje spletne strani.

Toda kibernetski kriminalci lahko pogosto spremljajo promet DNS, zaradi česar je šifriranje nujno, da bo vaše brskanje po spletu zasebno in varno.

Danes se uporablja več protokolov za šifriranje DNS. Ti šifrirni protokoli se lahko uporabljajo za preprečevanje kibernetskega vohljanja s šifriranjem prometa v protokolu HTTPS prek varnostne povezave transportne plasti (TLS).

1. DNSCrypt

DNSCrypt je omrežni protokol, ki šifrira ves promet DNS med uporabnikovim računalnikom in javnim imenskim strežnikom. Protokol uporablja infrastrukturo javnih ključev (PKI) za preverjanje pristnosti vašega strežnika DNS in odjemalcev.

Za avtentikacijo komunikacije med odjemalcem in strežnikom uporablja dva ključa, javni ključ in zasebni ključ. Ko se sproži poizvedba DNS, odjemalec šifrira poizvedbo z javnim ključem strežnika.

Šifrirana poizvedba se nato pošlje strežniku, ki poizvedbo dešifrira s svojim zasebnim ključem. Na ta način DNSCrypt zagotavlja, da je komunikacija med odjemalcem in strežnikom vedno overjena in šifrirana.

DNSCrypt je relativno star omrežni protokol. V veliki meri sta ga nadomestila DNS-over-TLS (DoT) in DNS-over-HTTPS (DoH) zaradi širše podpore in močnejših varnostnih jamstev, ki jih zagotavljata ta nova protokola.

2. DNS preko TLS

DNS-over-TLS šifrira vaše poizvedbe DNS z uporabo Transport Layer Security (TLS). TLS zagotavlja, da so vaše poizvedbe DNS šifrirane od konca do konca, kar preprečuje napade Man-in-the-Middle (MITM) .

Ko uporabljate DNS-over-TLS (DoT), se vaše poizvedbe DNS pošljejo razreševalniku DNS-over-TLS namesto nešifriranemu razreševalniku. Reševalec DNS-over-TLS dekodira vašo poizvedbo DNS in jo v vašem imenu pošlje avtoritativnemu strežniku DNS.

Privzeta vrata za DoT so vrata TCP 853. Ko se povežete z uporabo DoT, odjemalec in razreševalec izvedeta digitalno "rokovanje". Odjemalec nato pošlje svojo poizvedbo DNS prek šifriranega kanala TLS razreševalniku.

Reševalec DNS obdela poizvedbo, poišče ustrezen naslov IP in pošlje odgovor nazaj odjemalcu prek šifriranega kanala. Odjemalec prejme šifriran odgovor, kjer se le-ta dešifrira in odjemalec uporabi naslov IP za povezavo na želeno spletno mesto ali storitev.

3. DNS prek HTTPS

HTTPS je varna različica HTTP, ki se trenutno uporablja za dostop do spletnih mest. Tako kot DNS-over-TLS tudi DNS-over-HTTPS (DoH) šifrira vse informacije, preden se pošljejo po omrežju.

Čeprav je cilj enak, obstaja nekaj temeljnih razlik med DoH in DoT. Za začetek DoH pošlje vse šifrirane poizvedbe prek HTTPS, namesto da neposredno ustvari povezavo TLS za šifriranje vašega prometa.

Drugič, uporablja vrata 403 za splošno komunikacijo, zaradi česar se težko razlikuje od splošnega spletnega prometa. DoT uporablja vrata 853, zaradi česar je veliko lažje prepoznati promet iz teh vrat in ga blokirati.

DoH je doživel širšo uporabo v spletnih brskalnikih, kot sta Mozilla Firefox in Google Chrome, saj izkorišča obstoječo infrastrukturo HTTPS. DoT pogosteje uporabljajo operacijski sistemi in specializirani razreševalci DNS, namesto da bi ga integrirali neposredno v spletne brskalnike.

Dva glavna razloga, zakaj je DoH širše sprejet, sta ta, da ga je veliko lažje integrirati v trenutne spletne brskalnike in, kar je še pomembneje, brezhibno se zlije z običajnim spletnim prometom, zaradi česar je blokiranje veliko težje.

4. DNS preko QUIC

V primerjavi z drugimi šifrirnimi protokoli DNS na tem seznamu je DNS-over-QUIC (DoQ) relativno nov. To je nastajajoči varnostni protokol, ki pošilja poizvedbe in odgovore DNS prek transportnega protokola QUIC (Hitre internetne povezave UDP).

Večina internetnega prometa danes temelji na protokolu za nadzor prenosa (TCP) ali protokolu uporabniškega datagrama (UDP), pri čemer se poizvedbe DNS pogosto pošiljajo prek UDP. Vendar pa je bil protokol QUIC rojen za premagovanje nekaterih pomanjkljivosti TCP/UDP, kar je pomagalo zmanjšati zakasnitev in izboljšati varnost.

QUIC je razmeroma nov transportni protokol, ki ga je razvil  Google in je zasnovan tako, da zagotavlja boljšo zmogljivost, varnost in zanesljivost kot tradicionalni protokoli, kot sta TCP in TLS. QUIC združuje funkcije TCP in UDP ter ima vgrajeno šifriranje, podobno TLS.

Ker je novejši, ponuja DoQ več prednosti pred zgoraj omenjenimi protokoli. Za začetek DoQ ponuja hitrejše delovanje, zmanjšano skupno zakasnitev in izboljšane čase povezave. Posledica tega je hitrejše razreševanje DNS (čas, da DNS razreši naslove IP). Navsezadnje to pomeni, da so vam spletna mesta na voljo hitreje.

Še pomembneje je, da je DoQ bolj odporen na izgubo podatkov v primerjavi s TCP in UDP, saj lahko obnovi izgubljene pakete, ne da bi zahteval popoln ponovni prenos, za razliko od protokolov, ki temeljijo na TCP.

Poleg tega je s QUIC veliko lažje preseliti povezave. QUIC enkapsulira več niti v eno povezavo, s čimer zmanjša število zank, potrebnih za povezavo, in tako izboljša zmogljivost. To je lahko koristno tudi pri preklapljanju med WiFi in mobilnimi omrežji.

QUIC še vedno ni splošno sprejet v primerjavi z drugimi protokoli. Toda podjetja, kot so Apple, Google in Meta, že uporabljajo QUIC in pogosto ustvarjajo svoje različice (Microsoft uporablja MsQUIC za ves svoj promet SMB), kar je dobra napoved za prihodnost.

Pričakuje se, da bodo nove tehnologije temeljito spremenile način dostopanja do spleta. Številna podjetja na primer zdaj izkoriščajo tehnologije veriženja blokov , da bi ponudila varnejše protokole za poimenovanje domen, kot sta HNS in Unstoppable Domains.