Lição 2 de 4 · 6 min

Quem vê as suas pesquisas DNS

Uma pesquisa DNS simples viaja sem encriptação. Aqui fica exatamente quem está em posição de a ler, e porque é que isso importa mesmo num site HTTPS.

A lição anterior seguiu uma pesquisa DNS do seu Mac até um resolvedor e de volta. Essa viagem não é privada por defeito. O Centro de Aprendizagem da Cloudflare é direto quanto a isso: "por defeito, as consultas e respostas DNS são enviadas em texto simples (via UDP), o que significa que podem ser lidas por redes, fornecedores de internet, ou qualquer pessoa capaz de monitorizar as transmissões. Mesmo que um site use HTTPS, a consulta DNS necessária para navegar até esse site fica exposta."

Pense numa consulta DNS normal e sem encriptação como um postal enviado pelo correio: qualquer pessoa que manuseie o correio pode acabar por ver de relance o texto escrito no verso.
Centro de Aprendizagem da Cloudflare

Quem está em posição de ler esse postal

Uma pesquisa DNS simples, sem encriptação. A próxima lição aborda o que a sua encriptação muda.
Quem	O que normalmente consegue ver	Porquê
Quem gere o Wi-Fi ou a rede local (um café, um escritório, um aeroporto)	Os nomes dos sites que o seu dispositivo pesquisa enquanto está ligado	Uma consulta DNS simples não está encriptada, por isso qualquer coisa que observe a rede local a consegue ler
O seu fornecedor de internet (ISP), se usar o seu resolvedor predefinido	Todos os nomes de sites que o seu dispositivo pesquisa, associados à sua conta	O resolvedor do ISP responde diretamente à consulta
Um resolvedor de terceiros (por exemplo, um serviço público de DNS), se tiver mudado para um	As mesmas pesquisas, em vez do seu ISP	Alguém responde sempre à consulta; mudar de resolvedor desloca a visibilidade, não a remove

Esta última linha importa e é muitas vezes esquecida: mudar do resolvedor de um ISP não torna o DNS privado, apenas realoca a visibilidade. A Electronic Frontier Foundation coloca-o claramente ao discutir o bloqueio baseado em DNS: "o seu novo fornecedor de DNS vai obter a informação sobre a sua atividade de navegação que o seu ISP antes tinha, o que pode ser uma preocupação de privacidade." Alguém responde a cada pesquisa; a questão é quem, e o que faz com esse registo.

Porque é que uma pesquisa de nome importa mesmo com HTTPS

O HTTPS encripta o conteúdo de uma página e o caminho exato que pede num site, mas não encripta a pesquisa DNS que acontece primeiro, só para encontrar o endereço desse site. Por isso, mesmo numa ligação totalmente encriptada, a sequência de nomes de sites que o seu dispositivo pesquisou, e quando, é muitas vezes visível para quem estiver a observar a rede ou a gerir o resolvedor, o que é exatamente o tipo de metadados que o curso introdutório desta universidade descreve: não o conteúdo do que leu, mas um registo de onde foi.

Verificar que resolvedor um Mac está configurado para usar

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns lista o resolvedor (ou resolvedores) para onde o seu Mac envia atualmente as pesquisas, para cada tipo de rede em que se encontra. É uma primeira verificação útil antes de assumir quem consegue ver as suas pesquisas: a resposta depende inteiramente de qual o resolvedor configurado, e em ligações de ISP, Wi-Fi e VPN isso pode mudar sem que dê por isso.

A reter

Uma pesquisa DNS simples viaja sem encriptação, por isso quem conseguir observar o percurso de rede, o dono do Wi-Fi, o ISP, a consegue ler.
O HTTPS encripta o conteúdo e os caminhos da página, mas não a pesquisa DNS que encontra o endereço do site à partida.
Mudar para um resolvedor de DNS diferente realoca quem vê as suas pesquisas; não torna a própria pesquisa privada.
O registo de que sites pesquisou, e quando, são metadados que podem importar mesmo sem o conteúdo do que leu.
Pode verificar que resolvedor o seu Mac está a usar com `scutil --dns`.

Teste-se

1. Porque é que o dono de uma rede Wi-Fi de um café consegue normalmente ver que sites pesquisou?
- Porque é dono do seu dispositivo
- Porque uma consulta DNS simples viaja em texto simples pela rede local por defeito — Certo.
- Porque o HTTPS partilha essa informação com os donos do Wi-Fi
- Não consegue ver isto em circunstância nenhuma
A Cloudflare nota que as consultas DNS são enviadas em texto simples por defeito, legíveis por "redes, fornecedores de internet, ou qualquer pessoa capaz de monitorizar as transmissões."
2. Visitar um site HTTPS esconde a pesquisa DNS que encontra o seu endereço?
- Sim, o HTTPS também encripta a pesquisa DNS
- Não, a pesquisa DNS que acontece primeiro fica exposta mesmo quando o próprio site usa HTTPS — Certo.
- Só para domínios .com
- Só se também for usada uma VPN
A Cloudflare afirma claramente que "mesmo que um site use HTTPS, a consulta DNS necessária para navegar até esse site fica exposta."
3. Se mudar do resolvedor do seu ISP para um resolvedor público de DNS diferente, o que muda em termos de privacidade?
- As suas pesquisas tornam-se completamente privadas para todos
- A visibilidade desloca-se para o novo operador do resolvedor em vez de desaparecer — Certo.
- Nada muda de todo
- O seu ISP deixa de conseguir ver qualquer tráfego seu
A EFF nota que um novo fornecedor de DNS "vai obter a informação sobre a sua atividade de navegação que o seu ISP antes tinha" — a visibilidade desloca-se em vez de desaparecer.

Praticar com o FireAI

Ponha esta lição em prática no seu próprio Mac.

Fontes

Ponha em prática no seu Mac

Experimente todas as funcionalidades grátis durante 17 dias, sem cartão.

Transferir para Mac Docs