Все о DNS over HTTPS (DoH): как шифрование в браузере защищает от слежки провайдера

Фундаментальная уязвимость классического DNS (Порт 53)

При разработке системы доменных имен в 1980-х годах (RFC 1034 / 1035) приоритетом была производительность и отказоустойчивость, а не криптографическая конфиденциальность. В результате DNS-запросы десятилетиями передавались открытым текстом по порту UDP 53.

Каждый раз, когда устройство подключается к сайту, открытый пакет отправляется через Wi-Fi маршрутизатор и оборудование интернет-провайдера (ISP). Провайдеры имеют возможность сохранять историю посещений, использовать ее для таргетирования рекламы или блокировать ресурсы.

Как стандарт RFC 8484 (DoH) меняет безопасность

В октябре 2018 года инженерный совет IETF утвердил спецификацию RFC 8484, стандартизировав протокол DNS поверх HTTPS (DoH):

1. Туннелирование в TLS 1.3: Все запросы и ответы упаковываются в зашифрованные HTTPS-сессии через стандартный порт TCP 443.
2. Неотличимость от веб-трафика: Пакеты DoH внешне идентичны обычному безопасному трафику веб-страниц, благодаря чему промежуточные маршрутизаторы и DPI-системы не могут фильтровать или анализировать запросы.
3. Мультиплексирование через HTTP/2 и HTTP/3: Клиент DoH отправляет несколько запросов параллельно в рамках одного соединения TCP/QUIC, устраняя задержки повторных рукопожатий.

DNSSEC: Конфиденциальность против целостности

Если DoH обеспечивает конфиденциальность (никто не видит, к какому домену вы обращаетесь), то DNSSEC гарантирует целостность (ответ не подменен злоумышленником). Цифровые подписи RRSIG и DS выстраивают непрерывную криптографическую цепочку доверия до корневой зоны IANA.

Протестируйте DoH в интерактивном модуле ниже

Оцените работу RFC 8484 в реальном времени. Интерактивный виджет внизу статьи выполняет защищенные запросы к серверам Cloudflare (1.1.1.1) и Google (8.8.8.8) напрямую из вашего браузера.