Lekcja 2 z 4 · 6 min

Kto widzi twoje zapytania DNS

Zwykłe zapytanie DNS podróżuje niezaszyfrowane. Oto dokładnie, kto może je odczytać i dlaczego ma to znaczenie nawet na stronie HTTPS.

Poprzednia lekcja śledziła zapytanie DNS od twojego Maca do resolvera i z powrotem. Ta podróż domyślnie nie jest prywatna. Cloudflare Learning Center mówi o tym wprost: „domyślnie zapytania i odpowiedzi DNS są wysyłane zwykłym tekstem (przez UDP), co oznacza, że mogą je odczytać sieci, dostawcy internetu albo każdy zdolny monitorować transmisję. Nawet jeśli strona internetowa używa HTTPS, zapytanie DNS potrzebne, by na nią przejść, jest odsłonięte”.

Pomyśl o zwykłym, niezaszyfrowanym zapytaniu DNS jak o pocztówce wysłanej pocztą: każdy, kto obsługuje pocztę, może przypadkiem rzucić okiem na tekst napisany z tyłu.
Cloudflare Learning Center

Kto jest w stanie odczytać tę pocztówkę

Zwykłe zapytanie DNS, bez szyfrowania. Kolejna lekcja omawia, co zmienia jego zaszyfrowanie.
Kto	Co zwykle może zobaczyć	Dlaczego
Kto prowadzi Wi-Fi lub sieć lokalną (kawiarnia, biuro, lotnisko)	Nazwy stron, które wyszukuje twoje urządzenie, gdy jesteś połączony	Zwykłe zapytanie DNS jest niezaszyfrowane, więc każdy obserwujący sieć lokalną może je odczytać
Twój dostawca internetu (ISP), jeśli używasz jego domyślnego resolvera	Każdą nazwę strony, jaką wyszukuje twoje urządzenie, powiązaną z twoim kontem	Resolver dostawcy internetu odpowiada na zapytanie bezpośrednio
Resolver firmy trzeciej (np. publiczna usługa DNS), jeśli się na niego przełączyłeś	Te same zapytania, zamiast twojego dostawcy internetu	Ktoś zawsze odpowiada na zapytanie; zmiana resolvera przenosi widoczność, nie usuwa jej

Ten ostatni wiersz ma znaczenie i często jest pomijany: odejście od resolvera dostawcy internetu nie czyni DNS prywatnym, tylko przenosi widoczność. Electronic Frontier Foundation ujmuje to wprost, omawiając blokowanie oparte na DNS: „twój nowy dostawca DNS uzyska informacje o twojej aktywności przeglądania, które wcześniej miał twój dostawca internetu, co może budzić obawy o prywatność”. Ktoś odpowiada na każde zapytanie; pytanie brzmi, kto i co robi z tym zapisem.

Dlaczego wyszukanie nazwy ma znaczenie nawet przy HTTPS

HTTPS szyfruje treść strony i dokładną ścieżkę, o którą prosisz na danej stronie, ale nie szyfruje zapytania DNS, które w ogóle dzieje się najpierw, by w ogóle znaleźć adres tej strony. Więc nawet przy w pełni szyfrowanym połączeniu sekwencja nazw stron, które wyszukiwało twoje urządzenie, i kiedy, jest często widoczna dla każdego, kto obserwuje sieć albo prowadzi resolver — dokładnie ten rodzaj metadanych, który opisuje kurs wprowadzający tego uniwersytetu: nie treść tego, co czytasz, ale zapis tego, dokąd poszedłeś.

Sprawdzanie, jakiego resolvera używa Mac

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns wypisuje resolver (lub resolwery), do których twój Mac aktualnie wysyła zapytania dla każdego rodzaju sieci, w jakiej się znajduje. To użyteczne pierwsze sprawdzenie, zanim założysz, kto widzi twoje zapytania: odpowiedź zależy całkowicie od tego, jaki resolver jest skonfigurowany, a przy połączeniach ISP, Wi-Fi i VPN może się zmieniać bez twojej wiedzy.

Najważniejsze

Zwykłe zapytanie DNS podróżuje niezaszyfrowane, więc każdy, kto może obserwować ścieżkę sieciową — właściciel Wi-Fi, dostawca internetu — może je odczytać.
HTTPS szyfruje treść i ścieżki strony, ale nie zapytanie DNS, które w ogóle znajduje adres strony.
Przełączenie się na inny resolver DNS przenosi to, kto widzi twoje zapytania; nie czyni samego zapytania prywatnym.
Zapis tego, jakie strony wyszukiwałeś i kiedy, to metadane, które mogą mieć znaczenie nawet bez treści tego, co czytasz.
Możesz sprawdzić, jakiego resolvera używa twój Mac, poleceniem `scutil --dns`.

Sprawdź się

1. Dlaczego właściciel sieci Wi-Fi w kawiarni zwykle może zobaczyć, jakie strony wyszukiwałeś?
- Ponieważ jest właścicielem twojego urządzenia
- Ponieważ zwykłe zapytanie DNS domyślnie podróżuje zwykłym tekstem przez sieć lokalną — Dobrze.
- Ponieważ HTTPS udostępnia tę informację właścicielom Wi-Fi
- Nie może tego zobaczyć w żadnych okolicznościach
Cloudflare zauważa, że zapytania DNS są domyślnie wysyłane zwykłym tekstem, czytelnym dla „sieci, dostawców internetu albo każdego zdolnego monitorować transmisję”.
2. Czy odwiedzenie strony HTTPS ukrywa zapytanie DNS znajdujące jej adres?
- Tak, HTTPS szyfruje też zapytanie DNS
- Nie, zapytanie DNS, które dzieje się najpierw, jest odsłonięte nawet gdy sama strona używa HTTPS — Dobrze.
- Tylko dla domen .com
- Tylko jeśli używany jest też VPN
Cloudflare stwierdza wprost, że „nawet jeśli strona internetowa używa HTTPS, zapytanie DNS potrzebne, by na nią przejść, jest odsłonięte”.
3. Jeśli przełączysz się z resolvera swojego dostawcy internetu na inny, publiczny resolver DNS, co zmienia się w kwestii prywatności?
- Twoje zapytania stają się całkowicie prywatne dla wszystkich
- Widoczność przenosi się na operatora nowego resolvera, zamiast zniknąć — Dobrze.
- Nic się w ogóle nie zmienia
- Twój dostawca internetu nie widzi już żadnego twojego ruchu
EFF zauważa, że nowy dostawca DNS „uzyska informacje o twojej aktywności przeglądania, które wcześniej miał twój dostawca internetu” — widoczność się przenosi, zamiast zniknąć.

Wypróbuj to z FireAI

Zastosuj tę lekcję w praktyce na swoim Macu.

Źródła

Zastosuj to na swoim Macu

Wypróbuj wszystkie funkcje za darmo przez 17 dni, bez karty.

Pobierz na Maca Dokumentacja