Урок 2 из 4 · 6 мин

Кто видит ваши DNS-запросы

Обычный DNS-запрос передаётся без шифрования. Вот кто именно способен его прочитать и почему это важно даже на сайте с HTTPS.

Предыдущий урок проследил путь DNS-запроса от вашего Mac к резолверу и обратно. Этот путь не приватен по умолчанию. Learning Center Cloudflare говорит об этом прямо: «по умолчанию DNS-запросы и ответы отправляются в открытом виде (по UDP), а значит, их могут прочитать сети, интернет-провайдеры или кто угодно, способный наблюдать за передачей данных. Даже если сайт использует HTTPS, DNS-запрос, необходимый для перехода на этот сайт, остаётся открытым».

Представьте обычный, незашифрованный DNS-запрос как открытку, отправленную по почте: любой, кто обрабатывает почту, может случайно увидеть текст, написанный на обороте.
Learning Center Cloudflare

Кто способен прочитать эту открытку

Обычный DNS-запрос без шифрования. Следующий урок расскажет, что меняет шифрование.
Кто	Что обычно видно	Почему
Тот, кто управляет Wi-Fi или локальной сетью (кафе, офис, аэропорт)	Имена сайтов, которые ищет ваше устройство, пока вы подключены	Обычный DNS-запрос не зашифрован, поэтому любой, кто наблюдает за локальной сетью, может его прочитать
Ваш интернет-провайдер, если вы используете его резолвер по умолчанию	Имя каждого сайта, который ищет ваше устройство, привязанное к вашей учётной записи	Резолвер провайдера отвечает на запрос напрямую
Сторонний резолвер (например, публичный DNS-сервис), если вы на него перешли	Те же самые запросы, но вместо провайдера	На запрос всегда кто-то отвечает; смена резолвера перемещает видимость, а не устраняет её

Последняя строка важна, и её часто упускают из виду: отказ от резолвера провайдера не делает DNS приватным, он лишь переносит видимость в другое место. Electronic Frontier Foundation (EFF) прямо говорит об этом, рассуждая о блокировках на основе DNS: «ваш новый DNS-провайдер получит те же сведения о вашей активности в сети, которыми раньше располагал ваш интернет-провайдер, а это может быть проблемой для приватности». Кто-то отвечает на каждый запрос; вопрос лишь в том, кто именно и что он делает с этой записью.

Почему запрос имени важен даже при HTTPS

HTTPS шифрует содержимое страницы и точный путь, который вы запрашиваете на сайте, но не шифрует сам DNS-запрос, который происходит первым, чтобы вообще найти адрес этого сайта. Поэтому даже при полностью зашифрованном соединении последовательность имён сайтов, которые искало ваше устройство, и время этих запросов часто видны тому, кто наблюдает за сетью или управляет резолвером, — а это ровно тот вид метаданных, который вводный курс этого университета описывает как не содержание того, что вы читаете, а запись о том, куда вы ходили.

Проверка резолвера, который использует Mac

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns показывает резолвер (или резолверы), на которые ваш Mac в данный момент отправляет запросы для каждого типа сети, к которой он подключён. Это полезная первая проверка, прежде чем предполагать, кто видит ваши запросы: ответ полностью зависит от того, какой резолвер настроен, а при подключениях через провайдера, Wi-Fi и VPN он может меняться незаметно для вас.

Главное

Обычный DNS-запрос передаётся без шифрования, поэтому его может прочитать любой, кто способен наблюдать за путём в сети: владелец Wi-Fi, провайдер.
HTTPS шифрует содержимое страницы и пути, но не сам DNS-запрос, который сначала находит адрес сайта.
Переход на другой DNS-резолвер перемещает того, кто видит ваши запросы; сам запрос от этого приватнее не становится.
Запись о том, какие сайты вы искали и когда, — это метаданные, которые могут значить не меньше, чем содержание того, что вы читали.
Проверить, какой резолвер использует ваш Mac, можно командой `scutil --dns`.

Проверьте себя

1. Почему владелец Wi-Fi-сети в кафе обычно может увидеть, какие сайты вы искали?
- Потому что ему принадлежит ваше устройство
- Потому что обычный DNS-запрос по умолчанию передаётся по локальной сети в открытом виде — Верно.
- Потому что HTTPS передаёт эти сведения владельцам Wi-Fi
- Он не может увидеть это ни при каких обстоятельствах
Cloudflare отмечает, что DNS-запросы по умолчанию отправляются в открытом виде и доступны для чтения «сетям, интернет-провайдерам или кому угодно, способному наблюдать за передачей данных».
2. Скрывает ли посещение HTTPS-сайта DNS-запрос, который находит его адрес?
- Да, HTTPS шифрует и DNS-запрос
- Нет, DNS-запрос, происходящий первым, остаётся открытым, даже если сам сайт использует HTTPS — Верно.
- Только для доменов .com
- Только если также используется VPN
Cloudflare прямо утверждает, что «даже если сайт использует HTTPS, DNS-запрос, необходимый для перехода на этот сайт, остаётся открытым».
3. Если вы перейдёте от резолвера провайдера к другому публичному DNS-резолверу, что изменится в приватности?
- Ваши запросы станут полностью приватными для всех
- Видимость переместится к оператору нового резолвера, а не исчезнет — Верно.
- Ничего не изменится
- Провайдер больше не сможет видеть никакой ваш трафик
EFF отмечает, что новый DNS-провайдер «получит те же сведения о вашей активности в сети, которыми раньше располагал ваш провайдер», — видимость перемещается, а не исчезает.

Примените на практике в FireAI

Примените этот урок на своём Mac.

Источники

Примените это на своём Mac

Все функции бесплатно на 17 дней, без банковской карты.

Скачать для Mac Документация