DNS qua HTTPS (DoH) là giao thức kết hợp Hệ thống tên miền (DNS) và Bảo mật giao thức truyền siêu văn bản (HTTPS) để cung cấp cách phân giải tên miền thành địa chỉ IP riêng tư và an toàn hơn. Nó mã hóa các truy vấn và phản hồi DNS trong HTTPS, bảo vệ dữ liệu người dùng khỏi bị nghe lén và thao túng, đồng thời đảm bảo rằng các ISP và các bên trung gian khác không thể giám sát hoặc giả mạo lưu lượng DNS.
Lịch sử nguồn gốc của DNS qua HTTPS và lần đầu tiên đề cập đến nó
DNS qua HTTPS ban đầu được đề xuất vào tháng 10 năm 2017 bởi các kỹ sư của Mozilla và Cloudflare như một cách để giải quyết các mối lo ngại về bảo mật và quyền riêng tư liên quan đến độ phân giải DNS truyền thống. Giao thức này nhằm mục đích ngăn chặn các nhà cung cấp dịch vụ internet (ISP), chính phủ hoặc các tác nhân độc hại theo dõi các truy vấn DNS của người dùng, điều này có thể tiết lộ các hoạt động internet của họ và có khả năng dẫn đến vi phạm quyền riêng tư.
Thông tin chi tiết về DNS qua HTTPS. Mở rộng chủ đề DNS qua HTTPS
DNS qua HTTPS hoạt động bằng cách gói các truy vấn và phản hồi DNS trong các gói HTTPS, được mã hóa và xác thực bằng cách sử dụng Bảo mật lớp vận chuyển (TLS). Mã hóa này đảm bảo rằng chỉ các bên được chỉ định mới có thể giải mã nội dung, bảo vệ nội dung đó khỏi bị chặn và sửa đổi.
Khi thiết bị của người dùng muốn phân giải một tên miền (ví dụ: www.example.com) đến địa chỉ IP tương ứng của nó, nó sẽ gửi truy vấn DNS đến máy chủ DNS. Với DoH, thay vì sử dụng cổng UDP hoặc TCP truyền thống cho DNS, thiết bị sẽ gửi truy vấn DNS qua cổng 443, đây là cổng tiêu chuẩn cho lưu lượng HTTPS. Truy vấn DNS sau đó được chuyển tiếp đến máy chủ DNS hỗ trợ DoH.
Máy chủ DNS phản hồi bằng cách gửi phản hồi DNS qua HTTPS, hoàn thành vòng lặp được mã hóa. Thiết bị giải mã phản hồi và lấy địa chỉ IP cần thiết để truy cập trang web mong muốn.
Cấu trúc bên trong của DNS qua HTTPS. Cách hoạt động của DNS qua HTTPS
Cấu trúc bên trong của DNS qua HTTPS có thể được chia thành ba thành phần chính:
-
Khách hàng: Máy khách đề cập đến thiết bị hoặc ứng dụng của người dùng bắt đầu quá trình phân giải DNS. Khi máy khách muốn phân giải một tên miền, nó sẽ tạo một truy vấn DNS và gửi nó qua kết nối HTTPS.
-
Trình phân giải DNS qua HTTPS: Thành phần này nhận truy vấn DNS của máy khách qua HTTPS. Nó hoạt động như một trung gian giữa máy khách và máy chủ DNS, xử lý việc mã hóa và giải mã lưu lượng DNS. Trình phân giải chịu trách nhiệm chuyển tiếp truy vấn DNS đến máy chủ DNS và trả lại phản hồi được mã hóa cho máy khách.
-
Máy chủ DNS: Máy chủ DNS xử lý truy vấn DNS và trả về phản hồi DNS tương ứng cho trình phân giải DNS-over-HTTPS, sau đó, trình phân giải này sẽ mã hóa nó và gửi lại cho máy khách.
Quá trình này đảm bảo rằng truy vấn và phản hồi DNS được bảo vệ khỏi sự truy cập và thao tác trái phép.
Phân tích các tính năng chính của DNS qua HTTPS
DNS qua HTTPS cung cấp một số tính năng chính giúp nâng cao quyền riêng tư và bảo mật:
-
Mã hóa: Các truy vấn và phản hồi DNS được mã hóa bằng TLS, ngăn chặn những kẻ nghe trộm chặn và giải mã lưu lượng DNS.
-
Tính xác thực: TLS cũng cung cấp tính năng xác thực, đảm bảo rằng máy khách đang liên lạc với các máy chủ DNS hợp pháp và không phải là kẻ mạo danh đang cố gắng tấn công trung gian.
-
Sự riêng tư: Độ phân giải DNS truyền thống gửi truy vấn ở dạng văn bản thuần túy, tiết lộ thói quen duyệt web của người dùng. Với DoH, ISP và các bên trung gian khác không thể giám sát lưu lượng DNS của người dùng.
-
Bảo vệ: Bằng cách mã hóa DNS, DoH ngăn chặn các cuộc tấn công giả mạo DNS và đầu độc bộ đệm, tăng cường tính bảo mật tổng thể của độ phân giải DNS.
-
Truy cập không hạn chế: Một số mạng hoặc khu vực có thể áp đặt các hạn chế đối với lưu lượng DNS, nhưng vì DoH sử dụng cổng HTTPS tiêu chuẩn (443) nên DoH có thể bỏ qua các hạn chế này.
-
Cải thiện hiệu suất: DoH có khả năng cải thiện hiệu suất phân giải DNS bằng cách sử dụng cơ sở hạ tầng được tối ưu hóa của Mạng phân phối nội dung (CDN) được các nhà cung cấp DNS qua HTTPS sử dụng.
Các loại DNS qua HTTPS
Có hai loại triển khai DNS qua HTTPS chính:
-
DNS công cộng qua dịch vụ HTTPS: Đây là các trình phân giải DNS qua HTTPS của bên thứ ba do các công ty hoặc tổ chức cung cấp. Ví dụ bao gồm Cloudflare, Google và Quad9. Người dùng có thể định cấu hình thiết bị hoặc ứng dụng của mình để sử dụng các dịch vụ DoH công cộng này, đảm bảo độ phân giải DNS được mã hóa.
-
DNS riêng qua máy chủ HTTPS: Ngoài việc sử dụng các dịch vụ DoH công cộng, người dùng có thể thiết lập máy chủ DoH riêng để xử lý việc phân giải DNS cho mạng riêng của họ. Tùy chọn này cung cấp nhiều quyền kiểm soát và quyền riêng tư hơn vì các truy vấn DNS không được định tuyến qua máy chủ của bên thứ ba.
Dưới đây là bảng so sánh một số nhà cung cấp DNS công cộng phổ biến qua HTTPS:
| Các nhà cung cấp | Địa chỉ IP | Chính sách bảo mật | Đặc trưng |
|---|---|---|---|
| Đám mây bùng phát | 1.1.1.1, 1.0.0.1 | Trình phân giải DNS ưu tiên quyền riêng tư | Bảo vệ phần mềm độc hại và lừa đảo |
| 8.8.8.8, 8.8.4.4 | DNS công cộng của Google | Duyệt web an toàn và hỗ trợ DNSSEC | |
| Quad9 | 9.9.9.9 | Quyền riêng tư và bảo mật | Lọc các tên miền độc hại |
| OpenDNS | 208.67.222.222 | Ô Cisco | Lọc nội dung có thể tùy chỉnh |
Người dùng có thể bật DNS qua HTTPS trên thiết bị hoặc ứng dụng của mình bằng cách định cấu hình cài đặt trình phân giải DNS. Nhiều trình duyệt web hiện đại cũng hỗ trợ DoH nguyên bản, giúp người dùng dễ dàng lựa chọn độ phân giải DNS được mã hóa.
Tuy nhiên, có một số thách thức liên quan đến việc áp dụng DNS qua HTTPS:
-
Khả năng tương thích: Không phải tất cả các máy chủ DNS đều hỗ trợ DoH, vì vậy một số miền có thể không phân giải chính xác khi sử dụng DNS qua HTTPS. Tuy nhiên, số lượng máy chủ DNS tương thích DoH ngày càng tăng.
-
Triển khai: Đối với các máy chủ DoH riêng, việc thiết lập và duy trì cơ sở hạ tầng có thể yêu cầu chuyên môn kỹ thuật.
-
Kiểm duyệt và giám sát: Mặc dù DoH tăng cường quyền riêng tư nhưng nó cũng có thể được sử dụng để vượt qua các biện pháp kiểm duyệt và lọc nội dung, điều này gây lo ngại cho một số chính phủ và quản trị viên mạng.
Để giải quyết những thách thức này, điều cần thiết là phải có nhiều loại nhà cung cấp DNS công cộng qua HTTPS và thúc đẩy việc áp dụng DoH giữa các nhà khai thác DNS.
Các đặc điểm chính và so sánh khác với các thuật ngữ tương tự
Hãy so sánh DNS qua HTTPS với một số thuật ngữ tương tự:
-
DNS qua TLS (DoT): Tương tự như DoH, DNS over TLS mã hóa lưu lượng DNS, nhưng nó sử dụng TLS mà không có lớp HTTP. Cả hai giao thức đều nhằm đạt được cùng một mục tiêu là DNS được mã hóa, nhưng DoH có thể thân thiện với tường lửa hơn vì nó sử dụng cổng HTTPS tiêu chuẩn.
-
VPN (Mạng riêng ảo): VPN cũng mã hóa lưu lượng truy cập internet, bao gồm cả truy vấn DNS, nhưng chúng hoạt động ở một lớp khác. VPN mã hóa tất cả lưu lượng truy cập giữa thiết bị của người dùng và máy chủ VPN, trong khi DoH chỉ mã hóa lưu lượng DNS giữa máy khách và trình phân giải DNS qua HTTPS.
-
DNSSEC (Tiện ích mở rộng bảo mật DNS): DNSSEC là một tính năng bảo mật dành cho DNS nhằm cung cấp tính toàn vẹn và xác thực dữ liệu. Mặc dù DNSSEC và DoH có thể được sử dụng cùng nhau để tăng cường bảo mật nhưng chúng phục vụ các mục đích khác nhau. DNSSEC bảo vệ khỏi việc giả mạo dữ liệu DNS, trong khi DoH bảo vệ lưu lượng DNS khỏi bị nghe lén và giám sát.
DNS qua HTTPS đã đạt được sức hút đáng kể trong những năm gần đây và tương lai của nó có vẻ đầy hứa hẹn. Khi ngày càng nhiều người dùng và tổ chức ưu tiên quyền riêng tư trực tuyến, DoH có thể sẽ trở thành một tính năng tiêu chuẩn trong các trình duyệt và ứng dụng hiện đại. Sự phát triển liên tục của DNS công cộng qua các nhà cung cấp HTTPS và việc các nhà khai thác DNS áp dụng DoH sẽ góp phần vào việc sử dụng rộng rãi nó.
Ngoài ra, việc phát triển các công nghệ DNS mới và các cải tiến bảo mật, chẳng hạn như kết hợp DoH với DNSSEC hoặc triển khai các tính năng bảo vệ quyền riêng tư như bịt mắt DNS, có thể nâng cao hơn nữa quyền riêng tư và bảo mật của độ phân giải DNS.
Cách sử dụng hoặc liên kết máy chủ proxy với DNS qua HTTPS
Máy chủ proxy có thể đóng một vai trò quan trọng trong bối cảnh DNS qua HTTPS, đặc biệt trong các trường hợp độ phân giải DNS bị hạn chế hoặc khi muốn ẩn danh bổ sung. Dưới đây là một số cách có thể liên kết máy chủ proxy với DNS qua HTTPS:
-
Vượt qua các hạn chế DNS: Trong các khu vực hoặc mạng nơi DNS qua HTTPS bị chặn, người dùng có thể định tuyến truy vấn DNS của mình thông qua máy chủ proxy để truy cập trình phân giải DoH và phân giải tên miền một cách an toàn.
-
Ẩn danh nâng cao: Máy chủ proxy có thể đóng vai trò trung gian giữa người dùng và trình phân giải DoH, cung cấp thêm một lớp ẩn danh bằng cách ẩn địa chỉ IP của người dùng khỏi trình phân giải DNS.
-
Cân bằng tải và bộ nhớ đệm: Máy chủ proxy có thể giúp phân phối các truy vấn DNS giữa nhiều trình phân giải DoH, đảm bảo cân bằng tải tốt hơn và có khả năng giảm thời gian phân giải DNS thông qua bộ nhớ đệm.
-
Triển khai DoH tùy chỉnh: Các tổ chức có thể triển khai máy chủ proxy riêng có khả năng DNS qua HTTPS, cho phép họ có nhiều quyền kiểm soát hơn đối với lưu lượng DNS và duy trì quyền riêng tư DNS của mình.
Liên kết liên quan
Để biết thêm thông tin về DNS qua HTTPS, bạn có thể khám phá các tài nguyên sau:
- Mozilla Wiki – DNS qua HTTPS
- Cloudflare – DNS qua HTTPS
- DNS công cộng của Google – DNS qua HTTPS
- Quad9 – DNS qua HTTPS
- IETF RFC 8484 – Truy vấn DNS qua HTTPS (DoH)
Tóm lại, DNS qua HTTPS là một tiến bộ quan trọng trong thế giới máy chủ proxy, mang lại sự riêng tư và bảo mật nâng cao cho các truy vấn DNS của người dùng. Bằng cách mã hóa lưu lượng DNS trong HTTPS, DNS qua HTTPS đảm bảo rằng thông tin nhạy cảm vẫn được giữ bí mật và được bảo vệ khỏi sự truy cập trái phép. Khi internet tiếp tục phát triển, DNS qua HTTPS có thể sẽ trở thành một phần không thể thiếu trong việc bảo mật thông tin liên lạc trực tuyến và bảo vệ dữ liệu người dùng khỏi các mối đe dọa tiềm ẩn.
