DNS sobre HTTPS (DoH) é um protocolo que aumenta a segurança e a privacidade das solicitações DNS (Domain Name System), criptografando-as usando HTTPS (Hypertext Transfer Protocol Secure). Este protocolo permite que os clientes resolvam com segurança nomes de domínio em endereços IP, garantindo que terceiros não possam interceptar ou adulterar facilmente consultas e respostas DNS. DNS sobre HTTPS é um avanço importante na segurança da Internet e ganhou popularidade devido à sua capacidade de proteger os usuários de várias ameaças, como sequestro de DNS e espionagem.
A história da origem do DNS sobre HTTPS (DoH) e a primeira menção dele
O conceito de criptografia de tráfego DNS já existe há algum tempo, mas DNS sobre HTTPS ganhou atenção significativa quando foi proposto pela primeira vez por Patrick McManus da Mozilla em outubro de 2017. O rascunho inicial do protocolo DoH foi publicado na Internet Engineering Task Force ( IETF) por Patrick McManus e outros colaboradores. Desde então, o protocolo passou por diversas iterações e refinamentos, levando à sua ampla aceitação e adoção.
Informações detalhadas sobre DNS sobre HTTPS (DoH)
O DNS sobre HTTPS fornece uma maneira segura e privada de resolver nomes de domínio, aproveitando os recursos de criptografia do HTTPS. As consultas DNS tradicionais são normalmente enviadas em texto simples, tornando-as vulneráveis à interceptação e manipulação. Com o DoH, as consultas DNS são criptografadas e transmitidas por canais seguros, oferecendo vários benefícios:
-
Privacidade: O DNS sobre HTTPS oculta o conteúdo das solicitações de DNS, evitando que ISPs, administradores de rede ou agentes mal-intencionados monitorem as atividades dos usuários na Internet com base em seu tráfego DNS.
-
Segurança: A criptografia do tráfego DNS protege os usuários contra ataques baseados em DNS, como falsificação de DNS e ataques man-in-the-middle, garantindo que os usuários recebam respostas legítimas de servidores DNS autorizados.
-
Contornando a censura: O DNS sobre HTTPS pode ajudar a contornar a filtragem e a censura de DNS impostas por determinados governos ou ISPs, permitindo que os usuários acessem sites e serviços bloqueados.
-
Performance melhorada: Ao usar HTTPS, o DNS sobre HTTPS aproveita a infraestrutura existente e se beneficia das otimizações feitas para comunicações seguras na Web, resultando potencialmente em tempos de resolução de DNS mais rápidos.
A estrutura interna do DNS sobre HTTPS (DoH) – Como funciona
O DNS sobre HTTPS opera agrupando consultas e respostas DNS em pacotes HTTPS, que são então enviados e recebidos de servidores DoH especializados. Aqui está uma explicação passo a passo de como funciona o DNS sobre HTTPS:
-
Solicitação do cliente: Quando o dispositivo de um usuário inicia uma solicitação de resolução de DNS, o cliente DNS no dispositivo envia a consulta para um resolvedor de DNS compatível com DoH, que normalmente é operado por um provedor de serviços DoH.
-
Criptografia de consulta DNS: O cliente DNS criptografa a consulta DNS usando HTTPS, transformando-a efetivamente em uma solicitação HTTPS GET ou POST.
-
Transporte HTTP(S): A consulta DNS criptografada é então enviada pela porta HTTPS padrão (443) para o servidor DoH.
-
Processamento do servidor DoH: O servidor DoH recebe a consulta DNS criptografada, descriptografa-a e encaminha a consulta DNS para o resolvedor DNS apropriado para buscar o endereço IP associado ao nome de domínio solicitado.
-
Resolução DNS: O resolvedor DNS processa a consulta, recupera o endereço IP e envia a resposta de volta ao servidor DoH.
-
Criptografia de resposta DNS: O servidor DoH criptografa a resposta DNS usando HTTPS.
-
Resposta ao cliente: A resposta DNS criptografada é enviada de volta ao cliente pela conexão HTTPS.
-
Descriptografia do cliente: O cliente descriptografa a resposta DNS, obtém o endereço IP e o utiliza para se conectar ao servidor web desejado.
Este processo garante que todas as comunicações DNS entre o cliente e o servidor DoH permaneçam criptografadas e seguras, protegendo a privacidade do usuário e a integridade dos dados.
Análise dos principais recursos do DNS sobre HTTPS (DoH)
O DNS sobre HTTPS oferece vários recursos importantes que o diferenciam do DNS tradicional e de outros métodos de criptografia de DNS:
-
Criptografia ponta a ponta: DNS sobre HTTPS criptografa consultas DNS do cliente para o servidor DoH, e as respostas também são criptografadas do servidor DoH para o cliente. Essa criptografia ponta a ponta garante que apenas o cliente e o servidor DoH possam entender as consultas e respostas DNS.
-
Portabilidade: O DNS sobre HTTPS pode ser usado por qualquer dispositivo que suporte HTTPS, tornando-o compatível com uma ampla variedade de plataformas e sistemas operacionais.
-
Segurança contra interceptação: Ao aproveitar o HTTPS, o DoH protege contra espionagem e adulteração de solicitações de DNS, protegendo os usuários de vários ataques baseados em DNS.
-
Melhoria de privacidade: O DNS sobre HTTPS oculta as consultas DNS dos usuários, impedindo que os ISPs e outras entidades monitorem e coletem dados sobre suas atividades na Internet.
-
Facilidade de implementação: Como o DoH utiliza a infraestrutura HTTPS existente, a implementação de DNS sobre HTTPS é relativamente simples para navegadores da Web e aplicativos que já suportam HTTPS.
Tipos de DNS sobre HTTPS (DoH)
Existem basicamente dois tipos de implantações de DNS sobre HTTPS:
-
Resolvedores públicos de DoH: Estes são servidores DoH operados por várias organizações e provedores de serviços que oferecem resolução DoH ao público. Os usuários podem configurar seus dispositivos ou aplicativos para usar diretamente esses resolvedores DoH públicos.
-
Resolvedores privados de DoH: Nesse caso, os resolvedores DoH privados são configurados na infraestrutura de rede de organizações específicas, fornecendo resolução DNS segura aos seus usuários sem depender de resolvedores DoH públicos. Os resolvedores DoH privados podem aumentar a segurança e a privacidade da resolução interna de DNS dentro de uma organização.
Usando DNS sobre HTTPS (DoH)
Existem várias maneiras pelas quais os usuários podem utilizar DNS sobre HTTPS:
-
Navegadores da Web: Muitos navegadores modernos, como Mozilla Firefox e Google Chrome, possuem suporte integrado para DNS sobre HTTPS. Os usuários podem ativar esse recurso nas configurações do navegador para se beneficiarem de maior segurança e privacidade.
-
Configuração do sistema operacional: Alguns sistemas operacionais permitem que os usuários habilitem DNS sobre HTTPS em todo o sistema, garantindo que todas as consultas DNS de vários aplicativos sejam criptografadas.
-
Aplicativos de terceiros: Os usuários também podem empregar clientes ou aplicativos DNS sobre HTTPS de terceiros que fornecem resolução DNS sobre HTTPS, independentemente do sistema operacional ou navegador da web.
Problemas e soluções
Embora o DNS sobre HTTPS ofereça inúmeros benefícios, existem certos desafios associados à sua implantação:
-
Incompatibilidade: Nem todos os resolvedores ou servidores DNS suportam DoH, levando a possíveis problemas de incompatibilidade. No entanto, a adoção generalizada do DoH está incentivando os operadores de resolução de DNS a adicionarem suporte a este protocolo.
-
Preocupações com segurança: Embora o DNS sobre HTTPS resolva muitos problemas de segurança, pode introduzir novos riscos se não for implementado corretamente. Os usuários devem confiar no resolvedor DoH que estão usando, pois ele se torna o novo intermediário para consultas DNS. Empregar prestadores de serviços DoH respeitáveis e confiáveis é essencial para mitigar riscos potenciais.
-
Filtragem DNS e controles dos pais: O DNS sobre HTTPS pode contornar a filtragem de DNS e os mecanismos de controle parental, potencialmente levantando preocupações sobre o controle de conteúdo e o acesso a sites inadequados ou prejudiciais.
-
Gerenciamento de rede local: O DNS sobre HTTPS pode representar desafios para administradores de rede que dependem do DNS para gerenciar redes locais. A implementação do DoH em larga escala requer um planejamento cuidadoso e consideração dos requisitos de gerenciamento da rede local.
Para enfrentar esses desafios, organizações e indivíduos devem avaliar cuidadosamente suas implantações de DNS sobre HTTPS, selecionar provedores de serviços DoH confiáveis e implementar medidas de segurança apropriadas.
Principais características e outras comparações com termos semelhantes
Aqui está uma comparação de DNS sobre HTTPS (DoH) com mecanismos de segurança DNS semelhantes:
| Mecanismo | Características | Comparação com DoH |
|---|---|---|
| DNS sobre TLS (DoT) | Criptografa o tráfego DNS usando TLS (Transport Layer Security) | Tanto o DoT quanto o DoH fornecem criptografia para o tráfego DNS, mas o DoH usa HTTPS, que aproveita a infraestrutura da Web existente e pode ter suporte mais amplo. |
| DNSCrypt | Protege consultas DNS usando protocolos criptográficos | DNSCrypt é outro método de criptografia de DNS, mas o DoH ganhou mais popularidade devido ao uso de HTTPS, tornando-o compatível com navegadores da web e sistemas que já suportam HTTPS. |
| VPN (rede privada virtual) | Roteia todo o tráfego da Internet através de uma rede privada segura | Embora as VPNs possam melhorar a segurança online geral, elas não são projetadas especificamente para proteger solicitações de DNS. O DoH fornece criptografia focada para resolução de DNS sem rotear todo o tráfego por meio de uma rede separada. |
| DNSSEC (extensões de segurança DNS) | Adiciona assinaturas digitais aos dados DNS | O DNSSEC concentra-se principalmente em garantir a autenticidade e integridade dos dados DNS, mas não criptografa consultas DNS. DNSSEC e DoH podem complementar-se, fornecendo uma abordagem abrangente de segurança de DNS. |
O DNS sobre HTTPS provavelmente continuará sendo um avanço significativo na segurança das comunicações DNS e na proteção da privacidade do usuário na Internet. À medida que a sua adoção continua a crescer, podemos esperar os seguintes desenvolvimentos e tecnologias relacionadas ao DNS sobre HTTPS:
-
Maior suporte: Espera-se que mais resolvedores DNS e servidores DNS adicionem suporte para DoH, tornando-o um recurso padrão para resolução segura de DNS.
-
SNI criptografado (indicação de nome de servidor): SNI criptografado é uma tecnologia complementar que oculta o nome do host do site que um usuário está tentando acessar. Ele pode ser usado junto com o DoH para aumentar ainda mais a privacidade.
-
DNS sobre HTTPS em dispositivos IoT: À medida que a Internet das Coisas (IoT) continua a se expandir, a implementação de DNS sobre HTTPS em dispositivos IoT pode melhorar a segurança e prevenir possíveis ataques que explorem vulnerabilidades de DNS.
-
Padronização e Regulamentação: Com a crescente adoção do DoH, esforços de padronização e regulamentações em torno de sua implementação podem ser introduzidos para garantir um uso consistente e seguro.
Como os servidores proxy podem ser usados ou associados ao DNS sobre HTTPS (DoH)
Os servidores proxy podem desempenhar um papel crucial no aprimoramento das implantações de DNS sobre HTTPS das seguintes maneiras:
-
Cache e aceleração: Os servidores proxy podem armazenar em cache as respostas DNS obtidas por meio do DoH. Esse cache pode acelerar resoluções DNS subsequentes, reduzindo a latência geral e melhorando a experiência do usuário.
-
Balanceamento de carga: Os servidores proxy podem distribuir consultas DNS sobre HTTPS entre vários servidores DoH, garantindo uma utilização eficiente e equilibrando a carga na infraestrutura DoH.
-
Filtragem e registro: Os servidores proxy podem ser configurados para filtrar solicitações DNS específicas ou registrar o tráfego DNS, fornecendo aos administradores informações valiosas sobre o uso do DNS na rede.
-
Privacidade e anonimato: Ao usar um servidor proxy entre o cliente e o resolvedor DoH, os usuários podem aumentar ainda mais sua privacidade e anonimato, ocultando seus verdadeiros endereços IP do resolvedor DoH.
-
Geolocalização e acesso ao conteúdo: Os servidores proxy também podem fornecer aos usuários acesso a conteúdo com restrição geográfica, roteando solicitações de DNS sobre HTTPS por meio de servidores localizados em diferentes regiões.
Incorporar servidores proxy em uma configuração de DNS sobre HTTPS pode otimizar o desempenho, aumentar a segurança e fornecer controle adicional e opções de personalização.
Links Relacionados
Para obter mais informações sobre DNS sobre HTTPS (DoH), você pode consultar os seguintes recursos:
- Rascunho da Força-Tarefa de Engenharia da Internet (IETF) sobre DNS sobre HTTPS: https://datatracker.ietf.org/doc/draft-ietf-doh-dns-over-https/
- Mozilla Developer Network (MDN) – Introdução ao DNS sobre HTTPS (DoH): https://developer.mozilla.org/en-US/docs/Web/HTTP/Overview_of_DNS_over_HTTPS
- Desenvolvedores do Google – DNS sobre HTTPS (DoH) explicado: https://developers.google.com/speed/public-dns/docs/doh
Concluindo, DNS sobre HTTPS (DoH) é um avanço crítico na segurança das comunicações DNS e na preservação da privacidade do usuário na Internet. Ao criptografar as consultas DNS usando HTTPS, o DoH garante que as solicitações DNS dos usuários permaneçam confidenciais e protegidas contra diversas ameaças. À medida que o DoH continua a evoluir e a ganhar amplo apoio, ele tem potencial para se tornar um recurso padrão no futuro da segurança na Internet. A incorporação de servidores proxy com DNS sobre HTTPS pode otimizar ainda mais o desempenho e fornecer controle aprimorado sobre a resolução de DNS para organizações e usuários individuais.
