DNS over HTTPS (DoH): a protokoll működése és adatvédelmi célja

A Domain Név Rendszer (DNS) alapjai és sebezhetőségei

Az internet működésének egyik alapköve a Domain Név Rendszer, röviden DNS. Ez a protokoll felelős azért, hogy a felhasználók számára könnyen megjegyezhető domain neveket, mint például a „google.com” vagy a „wikipedia.org”, lefordítsa a számítógépek által értelmezhető IP-címekre, például „172.217.160.142”. Gondoljunk rá úgy, mint az internet telefonkönyvére: anélkül, hogy ismernénk egy weboldal „telefonszámát” (IP-címét), a DNS segít megtalálni azt a név alapján.

Amikor beír egy domain nevet a böngészőjébe, a számítógépe elküld egy DNS-lekérdezést egy DNS-szervernek. Ez a szerver, amely általában az internetszolgáltatója (ISP) üzemeltetésében áll, megkeresi a hozzá tartozó IP-címet, majd visszaküldi azt a számítógépének. Ezt követően a böngészője közvetlenül az IP-címet használva létesít kapcsolatot a weboldal szerverével.

A hagyományos DNS protokoll, amelyet évtizedek óta használunk, rendkívül hatékony és robusztus. Azonban egy alapvető hiányossággal rendelkezik a modern adatvédelmi és biztonsági elvárások szempontjából: a DNS-lekérdezések alapértelmezés szerint titkosítatlanul történnek. Ez azt jelenti, hogy mindenki, aki hozzáfér a hálózati forgalomhoz – legyen szó az internetszolgáltatójáról, egy rosszindulatú harmadik félről a nyilvános Wi-Fi hálózaton, vagy akár egy kormányzati szervről – láthatja, milyen weboldalakat látogat meg. Ez a láthatóság számos adatvédelmi és biztonsági kockázatot rejt magában.

A hagyományos DNS protokoll adatvédelmi és biztonsági kihívásai

A titkosítatlan DNS-forgalom komoly sebezhetőségeket eredményezett az évek során. Ezek a kihívások nem csupán elméletiek, hanem valós fenyegetést jelentenek a felhasználók adatvédelmére és az internet általános biztonságára nézve.

• Adatvédelmi hiányosságok és nyomkövetés: Mivel a DNS-lekérdezések titkosítatlanok, az internetszolgáltatók könnyedén naplózhatják az összes felkeresett domain nevet. Ez a naplózás lehetővé teszi számukra, hogy részletes profilt készítsenek az online tevékenységeinkről, ami később értékesíthető adatokká válhat harmadik felek számára, vagy felhasználható célzott hirdetésekhez. Még ha a weboldal maga HTTPS-t is használ, a kezdeti DNS-lekérdezés felfedi a látogatott domain nevet, még mielőtt a titkosított kapcsolat létrejönne.
• Man-in-the-Middle (MITM) támadások: Egy rosszindulatú szereplő, aki képes lehallgatni a hálózati forgalmat (például egy nyilvános Wi-Fi hálózaton), módosíthatja a titkosítatlan DNS-válaszokat. Ezáltal a felhasználót egy hamisított weboldalra irányíthatja, amely megtévesztően hasonlít az eredetire (például egy banki oldalra), adathalászat vagy rosszindulatú szoftverek telepítése céljából. Mivel a DNS-válasz nincs hitelesítve, a felhasználó számítógépe nem tudja ellenőrizni, hogy az IP-cím valóban a kért domainhez tartozik-e.
• DNS spoofing és cache poisoning: Ezek a támadások a DNS-rendszer integritását veszélyeztetik. A DNS spoofing során egy támadó hamis DNS-választ küld a felhasználónak, mielőtt a valódi válasz megérkezne, így átirányítva a forgalmat egy rosszindulatú szerverre. A cache poisoning (gyorsítótár-mérgezés) pedig azt jelenti, hogy egy hamis DNS-rekordot juttatnak be egy DNS-szerver gyorsítótárába. Ezáltal a szerver innentől kezdve a hamisított IP-címet adja vissza a kérésekre, amíg a hamisított bejegyzés le nem jár, vagy ki nem törlik. Ezek a támadások különösen veszélyesek, mivel széles körű hatással lehetnek számos felhasználóra.
• Internetes cenzúra és blokkolás: Mivel a DNS a domain nevek IP-címekre való feloldásáért felelős, a kormányok és internetszolgáltatók gyakran használják ezt a pontot bizonyos weboldalak blokkolására. Ez történhet úgy, hogy a DNS-szerver nem adja vissza a blokkolt oldal IP-címét, vagy éppenséggel egy hamis IP-címet ad vissza, amely egy blokkoló oldalra mutat. A titkosítatlan DNS-forgalom megkönnyíti az ilyen típusú cenzúrát, mivel a hálózati forgalom elemzésével könnyen azonosítható és manipulálható a DNS-lekérdezés.

Ezek a problémák rávilágítottak arra, hogy a DNS-rendszernek szüksége van egy modernizálásra, amely kiterjeszti a titkosítást és a hitelesítést erre az alapvető internetes protokollra is. Itt jön képbe a DNS over HTTPS (DoH).

A HTTPS protokoll: Az internetes kommunikáció pillére

Mielőtt belemerülnénk a DoH működésébe, érdemes megérteni, miért éppen a HTTPS protokollt választották a DNS-lekérdezések titkosítására. A HTTPS (Hypertext Transfer Protocol Secure) a webes kommunikáció biztonságos verziója, amely a HTTP protokollra épül, de kiegészíti azt az SSL/TLS (Secure Sockets Layer/Transport Layer Security) titkosítási protokollal. Ez a kombináció biztosítja, hogy a böngésző és a webszerver közötti adatforgalom védett legyen.

A HTTPS három alapvető biztonsági célt szolgál:

1. Titkosítás: Az adatok titkosított formában utaznak a kliens és a szerver között, megakadályozva, hogy illetéktelenek elolvassák azokat. Ez azt jelenti, hogy jelszavak, bankkártyaadatok vagy bármilyen személyes információ biztonságosan továbbítható.
2. Adatintegritás: A HTTPS biztosítja, hogy az adatok ne módosuljanak a továbbítás során. Ha valaki megpróbálja manipulálni a forgalmat, a protokoll észleli a változást, és megszakítja a kapcsolatot.
3. Hitelesség: A HTTPS ellenőrzi a szerver identitását egy digitális tanúsítvány segítségével, amelyet egy megbízható tanúsítványkiadó (CA) állít ki. Ez garantálja, hogy valóban azzal a szerverrel kommunikálunk, akivel szeretnénk, és nem egy hamisított oldallal.

A weboldalak túlnyomó többsége ma már HTTPS-t használ, és a böngészők is egyre inkább rákényszerítik a fejlesztőket a biztonságos kapcsolat használatára. A HTTPS sikere és széleskörű elterjedtsége logikus választássá tette azt a DNS-lekérdezések titkosítására is, hiszen egy már bevált és megbízható technológiáról van szó.

A DNS over HTTPS (DoH) protokoll működése és célja

A DNS over HTTPS (DoH) egy hálózati protokoll, amely a DNS-lekérdezéseket és -válaszokat HTTPS-en keresztül titkosítja és küldi. A hagyományos DNS-szel ellentétben, amely az 53-as UDP vagy TCP portot használja titkosítatlanul, a DoH a jól ismert 443-as TCP portot használja, akárcsak a normál webes forgalom. Ez a választás nem véletlen, és számos előnnyel jár.

A DoH elsődleges célja az adatvédelem és a biztonság növelése azáltal, hogy megakadályozza a DNS-lekérdezések lehallgatását, manipulálását és a felhasználói tevékenység nyomon követését. A protokoll lehetővé teszi, hogy a felhasználó DNS-forgalma beolvadjon a szokásos HTTPS-forgalomba, így nehezebbé téve az internetszolgáltatók és más hálózati szereplők számára a DNS-lekérdezések elkülönítését és elemzését.

A DoH működési mechanizmusa lépésről lépésre

A DoH működése a következőképpen foglalható össze:

1. Kérés indítása: Amikor a felhasználó beír egy domain nevet a böngészőjébe (vagy egy alkalmazásnak szüksége van egy domain név feloldására), a böngésző vagy az operációs rendszer, ha DoH-ra van konfigurálva, nem a hagyományos DNS-szerverhez küldi a kérést. Ehelyett egy HTTPS kérést állít össze, amely a DNS-lekérdezést tartalmazza.
2. HTTPS kapcsolat létesítése: A böngésző/rendszer ezután egy titkosított HTTPS kapcsolatot létesít egy előre konfigurált DoH-kompatibilis DNS-szerverrel (pl. Cloudflare, Google DNS, Quad9). Ez a kapcsolat a szokásos 443-as porton keresztül történik, akárcsak bármely más HTTPS weboldal letöltésekor.
3. Titkosított lekérdezés: A DNS-lekérdezés a HTTPS kérés részeként, titkosított formában utazik a DoH szerver felé. A lekérdezés formátuma általában JSON (JavaScript Object Notation) formátumban van kódolva, ami egy szabványos, gépek által könnyen olvasható adatcsere-formátum.
4. Szerveroldali feloldás: A DoH szerver megkapja a titkosított kérést, visszafejti azt, majd elvégzi a hagyományos DNS-feloldást (azaz megkeresi a kért domain névhez tartozó IP-címet).
5. Titkosított válasz: Miután a szerver feloldotta az IP-címet, a választ szintén JSON formátumban kódolja, majd titkosítva küldi vissza a kliensnek a már meglévő HTTPS kapcsolaton keresztül.
6. IP-cím felhasználása: A kliens (böngésző/rendszer) megkapja a titkosított választ, visszafejti azt, kinyeri belőle az IP-címet, majd ezt az IP-címet használja a tényleges weboldalhoz való kapcsolódáshoz.

A DoH tehát lényegében a DNS-forgalmat a szokásos webes forgalom álcájába bújtatja, és titkosítja azt. Ez a technikai megvalósítás kritikus fontosságú az adatvédelem és a cenzúra elleni küzdelem szempontjából.

A DoH adatvédelmi előnyei részletesen

A DoH bevezetése jelentős előrelépést jelent az online adatvédelem terén. Az alábbiakban részletezzük a legfontosabb adatvédelmi előnyöket:

• A DNS-lekérdezések titkosítása: Ez az elsődleges és legfontosabb előny. A DoH biztosítja, hogy a DNS-lekérdezések és -válaszok ne legyenek olvashatók harmadik felek számára. Ez megakadályozza, hogy az internetszolgáltatók, kormányzati szervek vagy a nyilvános hálózatokon lévő rosszindulatú szereplők nyomon kövessék, milyen weboldalakat látogat meg. Ez különösen kritikus lehet olyan régiókban, ahol az internetes szabadság korlátozott.
• Az internetszolgáltatói (ISP) nyomkövetés csökkentése: Hagyományos DNS esetén az ISP pontosan tudja, melyik IP-címről melyik domain nevet kérdezte le. A DoH használatával az ISP csak annyit lát, hogy titkosított HTTPS forgalom zajlik a felhasználó és egy ismert DoH szerver között. Nem tudja, hogy ezen a titkosított kapcsolaton belül pontosan milyen domain neveket kérdezett le a felhasználó. Ez jelentősen csökkenti az ISP-k azon képességét, hogy részletes profilt készítsenek az online szokásokról.
• Fokozott adatvédelem nyilvános Wi-Fi hálózatokon: Nyilvános Wi-Fi hálózatokon (kávézók, repülőterek, hotelek) különösen nagy a kockázata annak, hogy valaki lehallgatja a forgalmat. Míg a weboldalak HTTPS-e védi a tartalomkommunikációt, a DNS-lekérdezések továbbra is sebezhetők maradhatnak a DoH nélkül. A DoH ezen a ponton is extra védelmi réteget biztosít, megakadályozva, hogy a hálózaton lévő támadók lássák, milyen domain neveket old fel.
• A DNS-alapú cenzúra megkerülése: Bizonyos országokban vagy internetszolgáltatók blokkolhatnak weboldalakat a DNS-szinten. Ha a felhasználó egy olyan DoH-szolgáltatót használ, amely nem tartja be ezeket a blokkolási listákat, akkor képes lehet hozzáférni a cenzúrázott tartalmakhoz. Ez egy fontos eszköz az internetes szabadság fenntartásában.

Mindezek az előnyök együttesen hozzájárulnak ahhoz, hogy a felhasználók nagyobb kontrollt gyakorolhassanak online adatvédelmük felett, és csökkentsék az internetes tevékenységeikkel kapcsolatos adatok kiszivárgásának kockázatát.

A DoH biztonsági előnyei

Az adatvédelem mellett a DoH jelentős biztonsági előnyökkel is jár, amelyek megvédik a felhasználókat a rosszindulatú támadásoktól:

• Védelem a DNS spoofing és cache poisoning ellen: Mivel a DoH titkosítja és hitelesíti a DNS-válaszokat, sokkal nehezebbé válik a támadók számára, hogy hamisított IP-címeket juttassanak be a felhasználóhoz vagy a DNS-gyorsítótárba. A HTTPS protokoll beépített integritás-ellenőrzése garantálja, hogy a válasz nem módosult a továbbítás során, és a digitális tanúsítvány ellenőrzi a DoH szerver hitelességét. Ez jelentősen csökkenti az adathalászat és a rosszindulatú átirányítás kockázatát.
• Man-in-the-Middle (MITM) támadások nehezítése: A titkosított kapcsolatnak köszönhetően egy MITM támadó nem tudja lehallgatni vagy módosítani a DNS-lekérdezéseket és -válaszokat. Ha megpróbálná, a HTTPS protokoll észlelné a beavatkozást és megszakítaná a kapcsolatot, figyelmeztetve a felhasználót. Ez a védelem kulcsfontosságú a nyilvános Wi-Fi hálózatokon, ahol a MITM támadások gyakoriak.
• Kiterjesztett biztonsági lánc: A DoH kiterjeszti a már bevált és robusztus HTTPS biztonsági modellt a DNS-re. Ez azt jelenti, hogy a DNS-forgalom ugyanazokkal a kriptográfiai garanciákkal rendelkezik, mint a weboldalakon keresztüli kommunikáció, így egységesebb és erősebb védelmet biztosít a teljes online interakció során.

Ezek a biztonsági előnyök együttesen hozzájárulnak egy megbízhatóbb és ellenállóbb internetes környezet kialakításához, ahol a felhasználók kevésbé vannak kitéve a DNS-alapú fenyegetéseknek.

DoH vs. DoT (DNS over TLS): Hasonlóságok és különbségek

A DoH nem az egyetlen protokoll, amely a DNS-forgalom titkosítását célozza. Egy másik, hasonló célú protokoll a DNS over TLS (DoT). Fontos megérteni a két protokoll közötti hasonlóságokat és különbségeket.

Hasonlóságok:

• Titkosítás: Mind a DoH, mind a DoT a TLS (Transport Layer Security) protokollra épül, amely biztosítja a DNS-lekérdezések és -válaszok titkosítását. Ez megakadályozza a lehallgatást és a manipulációt.
• Adatintegritás és hitelesség: Mindkét protokoll garantálja az adatok integritását és a szerver hitelességét a TLS tanúsítványok segítségével.
• Adatvédelmi és biztonsági előnyök: Mindkettő célja a felhasználói adatvédelem növelése azáltal, hogy elrejti a DNS-lekérdezéseket az internetszolgáltatók és más harmadik felek elől, valamint védi a DNS-forgalmat a spoofing és MITM támadások ellen.

Különbségek:

A fő különbség a használt portban és a protokoll „láthatóságában” rejlik a hálózati forgalomban.

• Port használat:
  • DoT: A DoT a dedikált 853-as TCP portot használja. Ez azt jelenti, hogy a hálózati rendszergazdák vagy az internetszolgáltatók könnyen azonosíthatják és blokkolhatják a DoT forgalmat, ha akarnak.
  • DoH: A DoH a 443-as TCP portot használja, ugyanazt, mint a normál HTTPS webes forgalom. Ez a „port-sharing” az egyik legfőbb előnye a DoH-nak, mivel a DNS-forgalom beolvad a nagymennyiségű webes forgalomba, így sokkal nehezebb megkülönböztetni és blokkolni.
• Protokoll réteg:
  • DoT: A DoT közvetlenül a TLS réteg fölött működik, kifejezetten a DNS-célokra optimalizálva.
  • DoH: A DoH a HTTP/2 protokollon belül, a TLS réteg fölött működik, a DNS-lekérdezéseket HTTP kérésekként kezelve. Ez lehetővé teszi a DoH számára, hogy kihasználja a HTTP/2 multiplexing és egyéb funkcióit.
• Hálózati felügyelet és blokkolás:
  • DoT: Mivel a DoT külön portot használ, a hálózati felügyeleti eszközök könnyen azonosíthatják és blokkolhatják. Ez előnyös lehet vállalati környezetben, ahol a rendszergazdák ellenőrizni akarják a DNS-forgalmat biztonsági vagy szűrési célból.
  • DoH: A DoH-t sokkal nehezebb blokkolni vagy felügyelni anélkül, hogy a teljes HTTPS webes forgalmat is blokkolnánk. Ez előnyös a cenzúra elkerülésére, de kihívást jelenthet a vállalati biztonsági megoldások számára.

Az alábbi táblázat összefoglalja a főbb különbségeket:

Mindkét protokoll fontos szerepet játszik a DNS-forgalom biztonságosabbá tételében, de a DoH a „rejtőzködő” jellege miatt különösen hatékony a cenzúra és a hálózati felügyelet elleni védelemben.

A DoH elterjedése és implementációja

A DoH protokoll gyorsan elterjedt az elmúlt években, miután a nagyobb böngészők és operációs rendszerek elkezdték beépíteni a támogatását. Ez a széleskörű adoptáció alapvetően megváltoztatta a DNS-forgalom kezelését az interneten.

Böngészők és operációs rendszerek támogatása

• Mozilla Firefox: A Firefox volt az egyik első böngésző, amely széles körben bevezette a DoH-t. 2019 elején indította el a „Trusted Recursive Resolver” (TRR) programját, amely alapértelmezetté tette a DoH-t az Egyesült Államokban a Cloudflare DNS-szolgáltatójával. A Firefox célja az volt, hogy javítsa felhasználói adatvédelmét a DNS-lekérdezések titkosításával, függetlenül az internetszolgáltató beállításaitól.
• Google Chrome: A Chrome is bevezette a DoH támogatását, bár kezdetben óvatosabban. A Chrome alapértelmezés szerint a „Secure DNS” funkciót használja, amely megpróbálja a felhasználó aktuális DNS-szolgáltatóját DoH-on keresztül elérni, ha az támogatja. Ha nem, akkor a böngésző visszatér a hagyományos DNS-re. A felhasználók manuálisan is beállíthatnak egy preferált DoH-szolgáltatót.
• Microsoft Edge: A Microsoft Edge böngésző is támogatja a DoH-t, hasonlóan a Chrome-hoz, kihasználva a Chromium alapjait.
• Operációs rendszerek:
  • Windows: A Windows 11 beépített DoH támogatással rendelkezik, lehetővé téve a felhasználók számára, hogy a hálózati beállításokban közvetlenül konfigurálják a DoH-t.
  • macOS és iOS: Az Apple operációs rendszerei is támogatják a titkosított DNS-t, beleértve a DoH-t és a DoT-t is, bár a konfiguráció gyakran harmadik féltől származó alkalmazásokat vagy profilokat igényel.
  • Android: Az Android 9 (Pie) óta támogatja a DoT-t, az Android 10 (Q) és újabb verziók pedig a DoH-t is lehetővé teszik a „Private DNS” beállításokon keresztül.

Népszerű DoH szolgáltatók

A DoH széles körű elterjedéséhez nagyban hozzájárultak a nyilvános DNS-szolgáltatók, amelyek ingyenesen kínálják a DoH-kompatibilis DNS-feloldó szolgáltatásokat:

• Cloudflare (1.1.1.1): Az egyik legnépszerűbb és leggyorsabb nyilvános DNS-szolgáltató, amely teljes mértékben támogatja a DoH-t. A Cloudflare nagy hangsúlyt fektet az adatvédelemre, és nyilvánosan kijelenti, hogy nem naplózza a felhasználói IP-címeket.
• Google Public DNS (8.8.8.8, 8.8.4.4): A Google DNS is támogatja a DoH-t. Bár a Google is egy nagy adatgyűjtő cég, a DNS-szolgáltatásukhoz külön adatvédelmi irányelveket alkalmaznak.
• Quad9 (9.9.9.9): Ez a szolgáltató a biztonságra fókuszál, és blokkolja a rosszindulatú domaineket. Természetesen ők is kínálnak DoH támogatást.
• OpenDNS (Cisco): Az OpenDNS is kínál DoH-t, különösen a családi szűrési és biztonsági funkcióik részeként.

Ezek a szolgáltatók kritikusak a DoH ökoszisztémájában, mivel alternatívát kínálnak az internetszolgáltatók DNS-szervereihez képest, és lehetővé teszik a felhasználók számára, hogy független, titkosított DNS-feloldást válasszanak.

A DoH kihívásai és kritikái

Bár a DoH jelentős előrelépést jelent az adatvédelem és a biztonság terén, bevezetése nem volt mentes a vitáktól és a kritikáktól. Számos aggály merült fel a protokoll széleskörű alkalmazásával kapcsolatban.

• A centralizáció veszélye: Az egyik leggyakrabban felhozott kritika, hogy a DoH a DNS-forgalmat néhány nagy szolgáltatóhoz (pl. Cloudflare, Google) tereli, ami a DNS-rendszer centralizációjához vezethet. A hagyományos DNS-rendszer decentralizált, több ezer internetszolgáltató és szervezet üzemeltet saját DNS-szervert. Ha a legtöbb felhasználó egy maroknyi DoH-szolgáltatót választ, ez potenciális egységes hibapontot és cenzúra-kockázatot jelenthet. Ha egy ilyen szolgáltató meghibásodik, vagy nyomás alá kerül, az globális hatással lehet.
• Hálózati felügyelet nehezítése (vállalati környezetben): Vállalati vagy oktatási hálózatokban a rendszergazdák gyakran a DNS-forgalom elemzésével azonosítanak rosszindulatú tevékenységeket, és blokkolnak hozzáférést bizonyos oldalakhoz (pl. kártevőket terjesztő vagy felnőtt tartalmakat kínáló webhelyek). A titkosított DoH-forgalom megakadályozza ezt a fajta felügyeletet, így a hagyományos biztonsági megoldások (pl. tartalomfilterek) hatástalanná válnak. Ez komoly biztonsági rést okozhat a szervezetek számára.
• Hagyományos DNS-alapú szűrés és biztonsági megoldások megkerülése: Sok szülő használja az internetszolgáltatója által biztosított DNS-szűrést a gyermekei védelmére. Hasonlóképpen, bizonyos országokban a kormányok cenzúrázzák az internetet DNS-szintű blokkolással. A DoH lehetővé teszi a felhasználók számára, hogy megkerüljék ezeket a szűrőket, ami mind a szülők, mind a kormányok számára problémát jelenthet.
• Közbizalom kérdése (a DoH szolgáltató felé): Bár a DoH megvédi az internetszolgáltatótól, a bizalom kérdése áttevődik a DoH-szolgáltatóra. A felhasználónak bíznia kell abban, hogy a választott DoH-szolgáltató nem naplózza, nem adja el és nem használja fel rosszindulatúan a DNS-lekérdezéseket. Bár a nagy szolgáltatók ígéreteket tesznek az adatvédelemre, a bizalom mindig kulcsfontosságú marad.
• Teljesítmény kérdések: Elméletileg a HTTPS protokoll overheadje (többletterhelése) lassíthatja a DNS-feloldást a hagyományos UDP-alapú DNS-hez képest. A gyakorlatban azonban a modern HTTP/2 és a nagy DoH-szolgáltatók optimalizált infrastruktúrája miatt ez a különbség gyakran elhanyagolható vagy akár észrevehetetlen a felhasználók számára. Sőt, egyes esetekben a DoH gyorsabb is lehet, ha a hagyományos DNS-szerverek lassúak vagy távoliak.
• Debugging és hibaelhárítás nehézségei: A titkosított DNS-forgalom megnehezíti a hálózati problémák diagnosztizálását és hibaelhárítását, mivel a rendszergazdák nem láthatják a DNS-lekérdezéseket és -válaszokat.

Ezek a kritikák rávilágítanak arra, hogy a DoH bevezetése kompromisszumokkal jár, és az előnyök mellett figyelembe kell venni a lehetséges hátrányokat is. A technológia fejlődésével és a szabályozási keretek alakulásával ezek a kérdések valószínűleg tovább finomodnak.

A DoH és a VPN viszonya

Gyakran felmerül a kérdés, hogy ha valaki VPN-t (Virtual Private Network) használ, szüksége van-e még DoH-ra, vagy fordítva. A válasz az, hogy a DoH és a VPN kiegészítik egymást, és együttesen használva fokozottabb védelmet nyújtanak.

Hogyan működik a VPN?

A VPN egy titkosított „alagutat” hoz létre az Ön eszköze és a VPN-szerver között. Minden adatforgalom, beleértve a DNS-lekérdezéseket is, ezen a titkosított alagúton keresztül halad. A VPN-szerver ezután továbbítja az adatokat az internetre az Ön nevében. Ez a következő előnyökkel jár:

• IP-cím elrejtése: Az internetszolgáltatója és a meglátogatott weboldalak csak a VPN-szerver IP-címét látják, az Ön valódi IP-címét nem.
• Adatforgalom titkosítása: A teljes internetes forgalom titkosított az Ön eszköze és a VPN-szerver között.
• Geolokációs korlátozások megkerülése: A VPN-szerver helyzete alapján úgy tűnik, mintha Ön egy másik országból internetezne.

Mi a különbség a DoH és a VPN között?

Bár mindkettő titkosítást biztosít, különböző szinteken és különböző célokra:

• VPN: Titkosítja az összes hálózati forgalmat az Ön eszköze és a VPN-szerver között, beleértve az IP-címét és az összes adatát. A DNS-lekérdezések is a VPN-alagúton belül utaznak, és általában a VPN-szolgáltató saját DNS-szervere oldja fel őket.
• DoH: Csak a DNS-lekérdezéseket titkosítja HTTPS-en keresztül, és elrejti azokat az internetszolgáltatója elől. Nem titkosítja a teljes adatforgalmat, és nem rejti el az IP-címét a meglátogatott weboldalak elől.

Mikor érdemes mindkettőt használni?

Ha a maximális adatvédelemre és biztonságra törekszik, érdemes lehet mind a VPN-t, mind a DoH-t használni.

1. Fokozott adatvédelem: Ha a VPN-szolgáltatója hagyományos DNS-t használ az alagúton belül, az a DNS-lekérdezések továbbra is titkosítatlanul juthatnak el a VPN-szolgáltató DNS-szerveréhez. Ha azonban a böngészője vagy operációs rendszere DoH-t használ, akkor a DNS-lekérdezések már azelőtt titkosítva vannak, mielőtt belépnének a VPN-alagútba, és titkosítva maradnak a VPN-szolgáltató DNS-szerveréig (feltéve, hogy az is DoH-kompatibilis). Ez egy extra adatvédelmi réteget biztosít a VPN-szolgáltatóval szemben is, ha aggódna az ő naplózási gyakorlatuk miatt.
2. DNS-szivárgás elleni védelem: Egyes VPN-ek nem megfelelően kezelik a DNS-lekérdezéseket, ami „DNS-szivárgáshoz” vezethet, ahol a DNS-lekérdezések a VPN-alagúton kívül, titkosítatlanul jutnak el az internetszolgáltató DNS-szerveréhez. A DoH használatával ez a szivárgás kiküszöbölhető, mivel a lekérdezések eleve titkosítva vannak.
3. Cenzúra elleni védelem: A VPN alapvetően megkerüli a cenzúrát azáltal, hogy megváltoztatja a látszólagos tartózkodási helyét. A DoH ezt kiegészíti azzal, hogy a DNS-lekérdezéseket is elrejti, így még nehezebbé válik a hálózati szintű blokkolás.

Röviden: a VPN egy átfogóbb megoldás a teljes forgalom titkosítására és az IP-cím elrejtésére, míg a DoH specifikusan a DNS-forgalom adatvédelmére és biztonságára fókuszál. Együtt használva a két technológia robusztusabb védelmet nyújt az online adatvédelem és a biztonság terén.

A DNS over HTTPS (DoH) protokoll forradalmasítja az online adatvédelmet és biztonságot azáltal, hogy a DNS-lekérdezéseket a már bevált HTTPS titkosítási protokollba ágyazza, elrejtve azokat a harmadik felek elől és megakadályozva a manipulációt, ezzel alapvetően megváltoztatva az internetes szabadságról és felügyeletről alkotott képünket.

A DoH jövője és a DNS protokollok evolúciója

A DNS over HTTPS bevezetése egy újabb lépés az internet folyamatos evolúciójában, amely egyre nagyobb hangsúlyt fektet az adatvédelemre és a biztonságra. A DoH nem egy végállomás, hanem egy állomás a DNS-protokollok és az internetes infrastruktúra fejlődésében.

További fejlesztések és szabványok

A DoH mellett más, kapcsolódó protokollok és kezdeményezések is formálják a DNS jövőjét:

• DNSSEC (DNS Security Extensions): A DNSSEC egy kiterjesztés a DNS-hez, amely digitális aláírásokkal biztosítja a DNS-válaszok hitelességét és integritását. A DNSSEC védi a DNS-t a cache poisoning és spoofing támadások ellen, de önmagában nem biztosít titkosítást. A DoH és a DNSSEC egymást kiegészítő technológiák: a DoH titkosítja a lekérdezést, a DNSSEC pedig garantálja a válasz hitelességét. Ideális esetben mindkettő használatban van a teljes körű védelem érdekében.
• Oblivious DoH (ODoH): Ez egy újabb fejlesztés, amely a DoH-ra épül, és még tovább fokozza az adatvédelmet. Az ODoH egy proxyszervert vezet be a kliens és a DoH-szerver közé. A kliens titkosítja a DNS-lekérdezést a DoH-szerver nyilvános kulcsával, majd elküldi a proxyszervernek. A proxyszerver továbbítja a titkosított lekérdezést a DoH-szervernek anélkül, hogy tudná a kérés tartalmát vagy a kliens IP-címét. A DoH-szerver feloldja a kérést, és a proxyszerveren keresztül küldi vissza a titkosított választ. Ezáltal a DoH-szerver sem ismeri a kliens IP-címét, így még nehezebbé válik a felhasználói tevékenység nyomon követése. Az ODoH még kísérleti fázisban van, de ígéretes jövője lehet.
• DNS over QUIC (DoQ): A QUIC (Quick UDP Internet Connections) egy új hálózati protokoll, amelyet a Google fejlesztett ki, és amely a HTTP/3 alapját képezi. A DoQ a DNS-t a QUIC-en keresztül titkosítja és továbbítja, kihasználva a QUIC előnyeit, mint például a gyorsabb kapcsolatfelépítés és a jobb teljesítmény mobilhálózatokon. A DoQ a DoH egy alternatívája lehet a jövőben.

Az egyensúly megtalálása a biztonság és a hálózati kontroll között

A DoH bevezetése élesen rávilágított a biztonság, az adatvédelem és a hálózati kontroll közötti feszültségre. Míg a felhasználók számára a DoH egyértelműen előnyös az adatvédelem szempontjából, addig a hálózati rendszergazdák, internetszolgáltatók és kormányok számára kihívásokat támaszt.

• Vállalati megoldások: A vállalatoknak olyan megoldásokat kell találniuk, amelyek lehetővé teszik a DoH forgalom ellenőrzését anélkül, hogy aláásnák a protokoll adatvédelmi előnyeit. Ez magában foglalhatja a saját DoH-szerverek üzemeltetését, amelyek betartják a belső biztonsági szabályokat, vagy a hálózati politikák finomhangolását.
• Szabályozási kérdések: Egyes országok fontolóra vehetik a DoH szabályozását vagy blokkolását a cenzúra fenntartása érdekében, ami további feszültségeket szülhet a technológiafejlesztők és a kormányok között.
• Felhasználói tudatosság: A felhasználóknak tájékozottnak kell lenniük a DoH működéséről, előnyeiről és hátrányairól, és tudatosan kell választaniuk DoH-szolgáltatót, figyelembe véve az adatvédelmi irányelveiket.

A DoH egyértelműen a titkosított és adatvédelmi szempontból tudatosabb internet felé mutató tendencia része. Ahogy az online életünk egyre inkább összefonódik a digitális térrel, a protokollok, mint a DoH, kulcsfontosságúvá válnak a felhasználók jogainak és szabadságainak védelmében. A technológia folyamatosan fejlődik, és a jövőbeni DNS-protokollok valószínűleg még kifinomultabb megoldásokat kínálnak majd a biztonság és az adatvédelem kihívásaira, miközben igyekeznek megőrizni az internet nyitott és decentralizált jellegét.