HisnLabsLeksjon 2 av 4 · 6 min
Hvem ser DNS-oppslagene dine
Et vanlig DNS-oppslag reiser ukryptert. Her er nøyaktig hvem som er posisjonert til å lese det, og hvorfor det betyr noe selv på et HTTPS-nettsted.
Forrige leksjon fulgte et DNS-oppslag fra Mac-en din til en resolver og tilbake. Den turen er ikke privat som standard. Cloudflares læringssenter er direkte på dette: «som standard sendes DNS-spørringer og -svar i klartekst (via UDP), noe som betyr at de kan leses av nettverk, internettleverandører, eller hvem som helst som kan overvåke overføringer. Selv om et nettsted bruker HTTPS, er DNS-spørringen som kreves for å navigere til det nettstedet, eksponert.»
Tenk på en vanlig, ukryptert DNS-spørring som et postkort sendt med posten: hvem som helst som håndterer posten, kan tilfeldigvis få et glimt av teksten skrevet på baksiden.
Cloudflare Learning Center
Hvem som er posisjonert til å lese det postkortet
| Hvem | Hva de typisk kan se | Hvorfor |
|---|---|---|
| Den som driver Wi-Fi-en eller det lokale nettverket (en kafé, et kontor, en flyplass) | Nettstedsnavnene enheten din slår opp mens den er tilkoblet | En vanlig DNS-spørring er ukryptert, så alt som observerer det lokale nettverket kan lese den |
| Internettleverandøren din, hvis du bruker dens standardresolver | Hvert nettstedsnavn enheten din slår opp, knyttet til kontoen din | Leverandørens resolver svarer på spørringen direkte |
| En tredjeparts-resolver (f.eks. en offentlig DNS-tjeneste), hvis du har byttet til en | De samme oppslagene, i stedet for internettleverandøren din | Noen svarer alltid på spørringen; å bytte resolver flytter synligheten, det fjerner den ikke |
Den siste raden betyr noe og blir ofte oversett: å bytte bort fra en internettleverandørs resolver gjør ikke DNS privat, det flytter synligheten. Electronic Frontier Foundation sier det rett ut når de diskuterer DNS-basert blokkering: «din nye DNS-leverandør vil få informasjonen om nettleseraktiviteten din som internettleverandøren din tidligere hadde, noe som kan være et personvernproblem.» Noen svarer på hvert oppslag; spørsmålet er hvem, og hva de gjør med den oversikten.
Hvorfor et navneoppslag betyr noe selv med HTTPS
HTTPS krypterer innholdet på en side og den nøyaktige stien du forespør på et nettsted, men det krypterer ikke DNS-oppslaget som skjer først, for i det hele tatt å finne det nettstedets adresse. Så selv på en fullt kryptert tilkobling er sekvensen av nettstedsnavn enheten din slo opp, og når, ofte synlig for den som overvåker nettverket eller driver resolveren, som er nøyaktig den typen metadata dette universitetets innledende kurs beskriver: ikke innholdet i hva du leser, men en oversikt over hvor du var.
scutil --dns
DNS configuration
resolver #1
nameserver[0] : 127.0.2.2
nameserver[1] : 127.0.2.3
...scutil --dns lister opp resolveren (eller resolverne) Mac-en din for øyeblikket sender oppslag til for hver type nettverk den er på. Det er en nyttig første sjekk før du antar hvem som kan se oppslagene dine: svaret avhenger helt av hvilken resolver som er konfigurert, og på leverandør-, Wi-Fi- og VPN-tilkoblinger kan det endre seg uten at du merker det.
Det viktigste
- Et vanlig DNS-oppslag reiser ukryptert, så alle som kan observere nettverksstien, Wi-Fi-eieren, internettleverandøren, kan lese det.
- HTTPS krypterer sideinnhold og stier, men ikke DNS-oppslaget som først finner nettstedets adresse.
- Å bytte til en annen DNS-resolver flytter hvem som ser oppslagene dine; det gjør ikke selve oppslaget privat.
- Oversikten over hvilke nettsteder du slo opp, og når, er metadata som kan bety noe selv uten innholdet i det du leser.
- Du kan sjekke hvilken resolver Mac-en din bruker med `scutil --dns`.
Test deg selv
1. Hvorfor kan eieren av et kafé-Wi-Fi-nettverk typisk se hvilke nettsteder du slo opp?
- Fordi de eier enheten din
- Fordi en vanlig DNS-spørring reiser i klartekst over det lokale nettverket som standard — Riktig.
- Fordi HTTPS deler denne informasjonen med Wi-Fi-eiere
- De kan ikke se dette under noen omstendighet
Cloudflare bemerker at DNS-spørringer sendes i klartekst som standard, lesbare for «nettverk, internettleverandører, eller hvem som helst som kan overvåke overføringer.»
2. Skjuler et besøk på et HTTPS-nettsted DNS-oppslaget som finner adressen dets?
- Ja, HTTPS krypterer DNS-oppslaget også
- Nei, DNS-oppslaget som skjer først er eksponert selv når selve nettstedet bruker HTTPS — Riktig.
- Bare for .com-domener
- Bare hvis en VPN også brukes
Cloudflare sier rett ut at «selv om et nettsted bruker HTTPS, er DNS-spørringen som kreves for å navigere til det nettstedet, eksponert.»
3. Hvis du bytter fra internettleverandørens resolver til en annen offentlig DNS-resolver, hva endrer seg med personvernet?
- Oppslagene dine blir fullstendig private for alle
- Synligheten flyttes til den nye resolveroperatøren i stedet for å forsvinne — Riktig.
- Ingenting endres i det hele tatt
- Internettleverandøren din kan ikke lenger se noe av trafikken din
EFF bemerker at en ny DNS-leverandør «vil få informasjonen om nettleseraktiviteten din som internettleverandøren din tidligere hadde» — synligheten flyttes i stedet for å forsvinne.
Prøv det med FireAI
Sett denne leksjonen ut i praksis på din egen Mac.
- Dyp granskning, uten å dekryptere noe — Få reelle detaljer om en sikker tilkobling uten at FireAI noensinne leser hva som er inni den.
- Trussellister (valgfritt) — Sjekk trafikken din mot offentlige trusseldata uten å sende den noe sted.
- Blokker en app fra internett, eller bare ett selskap eller domene for den — Kutt nøyaktig det du mener — hele appen, eller bare ett selskap den snakker med.
Kilder
- Cloudflare Learning: DNS over TLS vs. DNS over HTTPS
- EFF Surveillance Self-Defense: Understanding and Circumventing Network Censorship
Ta det i bruk på din Mac
Prøv alle funksjonene gratis i 17 dager, uten kort.