Entendendo o DNS over HTTPS (DoH): Como a criptografia no navegador impede o rastreamento

A vulnerabilidade histórica do DNS tradicional (Porta 53)

Quando o Domain Name System foi especificado na década de 1980 (RFC 1034 / 1035), a resiliência e a velocidade foram priorizadas em detrimento da segurança criptográfica. Como resultado, as requisições de DNS foram padronizadas sem qualquer criptografia na porta UDP 53.

Toda vez que seu computador acessa uma página, um pacote legível com o nome do domínio passa pela rede Wi-Fi e pelo provedor de internet (ISP). Em muitos locais, operadoras registram essas informações para fins de publicidade ou para aplicar restrições governamentais.

Como o padrão RFC 8484 (DoH) transforma a privacidade

Em outubro de 2018, o IETF ratificou o RFC 8484, formalizando as consultas DNS sobre HTTPS:

1. Túneis seguros em TLS 1.3: Perguntas e respostas de DNS trafegam dentro de sessões HTTPS normais pela porta TCP 443.
2. Indistinguível do tráfego comum de internet: Utilizando a mesma porta e os mesmos algoritmos do tráfego web seguro, firewalls e intermediários não conseguem discernir consultas DNS de navegação comum.
3. Multiplexação com HTTP/2 e HTTP/3: Clientes DoH executam múltiplas pesquisas em paralelo em uma única conexão TCP ou QUIC, minimizando o tempo de resposta.

DNSSEC: Confidencialidade versus Integridade Criptográfica

Enquanto o DoH garante confidencialidade (ninguém vê o que você pesquisa), o DNSSEC assegura a integridade (garante que a resposta não foi falsificada). As assinaturas digitais RRSIG e DS criam uma cadeia de confiança inquebrável até a zona raiz da IANA.

Experimente no módulo interativo abaixo

Veja o padrão RFC 8484 funcionando na prática. O componente interativo abaixo conecta-se diretamente aos servidores seguros da Cloudflare (1.1.1.1) e do Google (8.8.8.8) com zero telemetria externa.