DNS sobre TLS (DoT) \u00e9 um protocolo que fornece uma camada adicional de seguran\u00e7a e privacidade para consultas de Sistema de Nomes de Dom\u00ednio (DNS). DNS \u00e9 um servi\u00e7o essencial que traduz nomes de dom\u00ednio leg\u00edveis por humanos, como \u201coneproxy.pro\u201d, em endere\u00e7os IP usados por computadores para localizar e se comunicar com sites e servi\u00e7os na Internet. Tradicionalmente, as consultas DNS s\u00e3o enviadas em texto simples, tornando-as vulner\u00e1veis a espionagem, ataques man-in-the-middle e falsifica\u00e7\u00e3o de DNS.<\/p>\n
O DNS sobre TLS aborda essas quest\u00f5es de seguran\u00e7a criptografando consultas e respostas DNS usando o protocolo Transport Layer Security (TLS), anteriormente conhecido como Secure Sockets Layer (SSL). Ao criptografar o tr\u00e1fego DNS, terceiros n\u00e3o podem interceptar ou adulterar as consultas, proporcionando aos usu\u00e1rios um maior n\u00edvel de privacidade e prote\u00e7\u00e3o.<\/p>\n
O DNS sobre TLS foi introduzido pela primeira vez em 2014 na RFC 7858, intitulada \u201cEspecifica\u00e7\u00e3o para DNS sobre Seguran\u00e7a da Camada de Transporte (TLS)\u201d. A proposta visava melhorar a seguran\u00e7a do DNS aplicando criptografia \u00e0s consultas e respostas do DNS. A RFC documentou os padr\u00f5es e protocolos necess\u00e1rios para a implementa\u00e7\u00e3o de DNS sobre TLS.<\/p>\n
O DNS sobre TLS opera estabelecendo uma conex\u00e3o TLS segura entre o cliente (resolvedor) e o servidor DNS. Quando uma consulta DNS \u00e9 feita, ela \u00e9 encapsulada no protocolo TLS e enviada ao servidor DNS por meio de um canal seguro. O servidor ent\u00e3o processa a consulta, retorna a resposta criptografada ao cliente, que \u00e9 ent\u00e3o descriptografada pelo cliente. Isto garante que a comunica\u00e7\u00e3o entre o cliente e o servidor DNS esteja protegida contra intercepta\u00e7\u00e3o e manipula\u00e7\u00e3o por invasores.<\/p>\n
A porta t\u00edpica para DNS sobre TLS \u00e9 853 e usa o mesmo formato de mensagem DNS que o DNS normal sobre UDP ou TCP. No entanto, ele est\u00e1 envolvido em um handshake TLS para maior seguran\u00e7a.<\/p>\n
O processo de DNS sobre TLS pode ser dividido nas seguintes etapas:<\/p>\n
Aperto de m\u00e3o<\/strong>: o cliente inicia um handshake TLS com o servidor DNS, estabelecendo uma conex\u00e3o segura.<\/p>\n<\/li>\n Consulta<\/strong>: o cliente envia uma consulta DNS ao servidor por meio do canal TLS estabelecido.<\/p>\n<\/li>\n Em processamento<\/strong>: o servidor DNS processa a consulta e gera uma resposta.<\/p>\n<\/li>\n Resposta<\/strong>: o servidor envia a resposta DNS criptografada de volta ao cliente.<\/p>\n<\/li>\n Descriptografia<\/strong>: o cliente descriptografa a resposta para obter as informa\u00e7\u00f5es de DNS.<\/p>\n<\/li>\n Resolu\u00e7\u00e3o<\/strong>: O cliente recebe o endere\u00e7o IP resolvido e pode acessar o site ou servi\u00e7o solicitado.<\/p>\n<\/li>\n<\/ol>\n O DNS sobre TLS oferece v\u00e1rios recursos importantes que o tornam um aprimoramento valioso do DNS tradicional:<\/p>\n Privacidade<\/strong>: ao criptografar consultas DNS, o DNS sobre TLS impede que terceiros, como provedores de servi\u00e7os de Internet (ISPs), monitorem as atividades DNS dos usu\u00e1rios.<\/p>\n<\/li>\n Seguran\u00e7a<\/strong>: A criptografia do tr\u00e1fego DNS protege contra falsifica\u00e7\u00e3o de DNS e ataques man-in-the-middle, proporcionando um n\u00edvel mais alto de seguran\u00e7a para os usu\u00e1rios.<\/p>\n<\/li>\n Integridade<\/strong>: DNS sobre TLS garante a integridade das respostas DNS, protegendo-as contra altera\u00e7\u00f5es durante o tr\u00e2nsito.<\/p>\n<\/li>\n Autentica\u00e7\u00e3o<\/strong>: o TLS fornece autentica\u00e7\u00e3o entre o cliente e o servidor DNS, reduzindo o risco de conex\u00e3o com servidores DNS maliciosos ou falsos.<\/p>\n<\/li>\n Compatibilidade<\/strong>: O DNS sobre TLS \u00e9 compat\u00edvel com a infraestrutura DNS existente e requer apenas altera\u00e7\u00f5es m\u00ednimas nos servidores e clientes DNS.<\/p>\n<\/li>\n Criptografia Seletiva<\/strong>: DNS sobre TLS permite que os usu\u00e1rios escolham quais consultas DNS devem ser criptografadas, proporcionando flexibilidade na implementa\u00e7\u00e3o de pol\u00edticas de criptografia.<\/p>\n<\/li>\n<\/ol>\n Existem dois modos principais de DNS sobre TLS:<\/p>\n modo estrito<\/strong>: no modo estrito, o cliente imp\u00f5e DNS sobre TLS para todas as suas consultas. Se o servidor DNS n\u00e3o suportar TLS, o cliente n\u00e3o enviar\u00e1 a consulta e utilizar\u00e1 um servidor alternativo ou retornar\u00e1 um erro.<\/p>\n<\/li>\n Modo Oportunista<\/strong>: no modo oportunista, o cliente tenta DNS por TLS, mas volta ao DNS normal se o servidor n\u00e3o suportar criptografia. Este modo permite uma abordagem mais flex\u00edvel \u00e0 ado\u00e7\u00e3o de DNS em vez de TLS.<\/p>\n<\/li>\n<\/ol>\n Vamos comparar os dois modos:<\/p>\nAn\u00e1lise dos principais recursos do DNS sobre TLS (DoT)<\/h2>\n
\n
Tipos de DNS sobre TLS (DoT)<\/h2>\n
\n