Aula 2 de 4 · 6 min

Quem vê suas buscas de DNS

Uma busca de DNS simples viaja sem criptografia. Veja exatamente quem está em posição de lê-la, e por que isso importa mesmo em um site HTTPS.

A aula anterior acompanhou uma busca de DNS do seu Mac até um resolvedor e de volta. Essa viagem não é privada por padrão. O Learning Center da Cloudflare é direto sobre isso: “por padrão, as consultas e respostas de DNS são enviadas em texto simples (via UDP), o que significa que podem ser lidas por redes, provedores de internet, ou qualquer um capaz de monitorar as transmissões. Mesmo que um site use HTTPS, a consulta de DNS necessária para navegar até esse site fica exposta”.

Pense em uma consulta de DNS comum e sem criptografia como um cartão-postal enviado pelo correio: qualquer um que manuseie a correspondência pode acabar vendo o que está escrito no verso.
Learning Center da Cloudflare

Quem está em posição de ler esse cartão-postal

Uma busca de DNS simples, sem criptografia. A próxima aula aborda o que muda ao criptografá-la.
Quem	O que costuma conseguir ver	Por quê
Quem administra o Wi-Fi ou a rede local (um café, um escritório, um aeroporto)	Os nomes dos sites que seu dispositivo consulta enquanto conectado	Uma consulta de DNS simples não é criptografada, então qualquer um observando a rede local consegue lê-la
Seu provedor de internet (ISP), se você usa o resolvedor padrão dele	Todo nome de site que seu dispositivo consulta, associado à sua conta	O resolvedor do ISP responde à consulta diretamente
Um resolvedor de terceiros (ex.: um serviço de DNS público), se você mudou para um	As mesmas buscas, só que em vez do seu ISP	Alguém sempre responde à consulta; trocar de resolvedor move a visibilidade, não a remove

Essa última linha importa e costuma passar despercebida: trocar o resolvedor de um ISP não torna o DNS privado, apenas realoca a visibilidade. A Electronic Frontier Foundation coloca isso claramente ao discutir bloqueios baseados em DNS: “seu novo provedor de DNS vai obter as informações sobre sua atividade de navegação que antes seu ISP tinha, o que pode ser uma preocupação de privacidade”. Alguém responde a cada busca; a questão é quem, e o que essa pessoa faz com esse registro.

Por que uma busca de nome importa mesmo com HTTPS

O HTTPS criptografa o conteúdo de uma página e o caminho exato que você solicita em um site, mas não criptografa a busca de DNS que acontece primeiro, para encontrar o endereço desse site. Então, mesmo em uma conexão totalmente criptografada, a sequência de nomes de sites que seu dispositivo consultou, e quando, costuma ficar visível para quem está observando a rede ou operando o resolvedor, o que é exatamente o tipo de metadado descrito no curso introdutório desta universidade: não o conteúdo do que você lê, mas um registro de aonde você foi.

Verificando qual resolvedor um Mac está configurado para usar

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns lista o resolvedor (ou resolvedores) para o qual seu Mac atualmente envia buscas, para cada tipo de rede em que está. É uma primeira checagem útil antes de presumir quem consegue ver suas buscas: a resposta depende inteiramente de qual resolvedor está configurado, e, em conexões de ISP, Wi-Fi e VPN, isso pode mudar sem você perceber.

Para lembrar

Uma busca de DNS simples viaja sem criptografia, então qualquer um que consiga observar o caminho da rede, o dono do Wi-Fi, o ISP, consegue lê-la.
O HTTPS criptografa o conteúdo e os caminhos da página, mas não a busca de DNS que encontra o endereço do site em primeiro lugar.
Trocar para um resolvedor de DNS diferente realoca quem vê suas buscas; não torna a busca em si privada.
O registro de quais sites você consultou, e quando, é um metadado que pode importar mesmo sem o conteúdo do que você lê.
Você pode verificar qual resolvedor seu Mac está usando com `scutil --dns`.

Teste seus conhecimentos

1. Por que o dono de uma rede Wi-Fi de café geralmente consegue ver quais sites você consultou?
- Porque ele é dono do seu dispositivo
- Porque uma consulta de DNS simples viaja em texto simples pela rede local por padrão — Certo.
- Porque o HTTPS compartilha essa informação com os donos de redes Wi-Fi
- Ele não consegue ver isso em nenhuma circunstância
A Cloudflare observa que as consultas de DNS são enviadas em texto simples por padrão, legíveis por "redes, provedores de internet, ou qualquer um capaz de monitorar as transmissões".
2. Visitar um site HTTPS esconde a busca de DNS que encontra seu endereço?
- Sim, o HTTPS também criptografa a busca de DNS
- Não, a busca de DNS que acontece primeiro fica exposta mesmo quando o próprio site usa HTTPS — Certo.
- Só para domínios .com
- Só se uma VPN também for usada
A Cloudflare afirma claramente que "mesmo que um site use HTTPS, a consulta de DNS necessária para navegar até esse site fica exposta".
3. Se você trocar o resolvedor do seu ISP por um resolvedor de DNS público diferente, o que muda em termos de privacidade?
- Suas buscas se tornam completamente privadas para todos
- A visibilidade se move para o novo operador do resolvedor, em vez de desaparecer — Certo.
- Nada muda
- Seu ISP deixa de conseguir ver qualquer um dos seus tráfegos
A EFF observa que um novo provedor de DNS "vai obter as informações sobre sua atividade de navegação que antes seu ISP tinha" — a visibilidade se realoca em vez de desaparecer.

Praticar com o FireAI

Coloque esta lição em prática no seu próprio Mac.

Fontes

Coloque em prática no seu Mac

Teste todos os recursos grátis por 17 dias, sem cartão.

Baixar para Mac Docs