HisnLabsLektion 2 av 4 · 6 min
Vem som ser dina DNS-uppslagningar
En vanlig DNS-uppslagning färdas okrypterad. Här är exakt vem som är positionerad att läsa den, och varför det spelar roll även på en HTTPS-sida.
Föregående lektion följde en DNS-uppslagning från din Mac till en resolver och tillbaka. Den resan är inte privat som standard. Cloudflares Learning Center är rakt på sak om det: "som standard skickas DNS-frågor och svar i klartext (via UDP), vilket betyder att de kan läsas av nätverk, internetleverantörer, eller vem som helst som kan övervaka överföringar. Även om en webbplats använder HTTPS är DNS-frågan som krävs för att navigera till den webbplatsen exponerad".
Tänk på en vanlig, okrypterad DNS-fråga som ett vykort skickat med posten: vem som helst som hanterar posten kan råka fånga en glimt av texten skriven på baksidan.
Cloudflare Learning Center
Vem som är positionerad att läsa det vykortet
| Vem | Vad de vanligtvis kan se | Varför |
|---|---|---|
| Den som driver Wi-Fi:n eller det lokala nätverket (ett kafé, ett kontor, en flygplats) | De sidnamn din enhet slår upp medan den är ansluten | En vanlig DNS-fråga är okrypterad, så allt som observerar det lokala nätverket kan läsa den |
| Din internetleverantör, om du använder dess standardresolver | Varje sidnamn din enhet slår upp, kopplat till ditt konto | Internetleverantörens resolver svarar direkt på frågan |
| En tredjepartsresolver (t.ex. en offentlig DNS-tjänst), om du har bytt till en sådan | Samma uppslagningar, istället för din internetleverantör | Någon svarar alltid på frågan; att byta resolver flyttar synligheten, den tar inte bort den |
Den sista raden spelar roll och missas ofta: att byta bort från en internetleverantörs resolver gör inte DNS privat, det flyttar bara synligheten. Electronic Frontier Foundation uttrycker det rakt på sak när de diskuterar DNS-baserad blockering: "din nya DNS-leverantör kommer att få den information om din surfaktivitet som din internetleverantör tidigare hade, vilket kan vara ett integritetsproblem". Någon svarar på varje uppslagning; frågan är vem, och vad de gör med det registret.
Varför en namnuppslagning spelar roll även med HTTPS
HTTPS krypterar innehållet på en sida och den exakta sökvägen du begär på en webbplats, men det krypterar inte den DNS-uppslagning som sker först, för att över huvud taget hitta den webbplatsens adress. Så även på en fullt krypterad anslutning är sekvensen av sidnamn din enhet slog upp, och när, ofta synlig för den som övervakar nätverket eller driver resolvern, vilket är exakt den sortens metadata som den här universitetets introduktionskurs beskriver: inte innehållet i vad du läser, utan ett register över vart du gick.
scutil --dns
DNS configuration
resolver #1
nameserver[0] : 127.0.2.2
nameserver[1] : 127.0.2.3
...scutil --dns listar den resolver (eller resolvers) din Mac för närvarande skickar uppslagningar till för varje typ av nätverk den är ansluten till. Det är en användbar första kontroll innan du antar vem som kan se dina uppslagningar: svaret beror helt på vilken resolver som är konfigurerad, och det kan ändras utan att du märker det beroende på internetleverantör, Wi-Fi och VPN-anslutningar.
Viktigt att minnas
- En vanlig DNS-uppslagning färdas okrypterad, så vem som helst som kan observera nätverksvägen, Wi-Fi-ägaren, internetleverantören, kan läsa den.
- HTTPS krypterar sidinnehåll och sökvägar, men inte den DNS-uppslagning som först hittar webbplatsens adress.
- Att byta till en annan DNS-resolver flyttar vem som ser dina uppslagningar; det gör inte själva uppslagningen privat.
- Registret över vilka sidor du slog upp, och när, är metadata som kan spela roll även utan innehållet i vad du läste.
- Du kan kontrollera vilken resolver din Mac använder med `scutil --dns`.
Testa dig själv
1. Varför kan ägaren av ett kafés Wi-Fi-nätverk vanligtvis se vilka sidor du slog upp?
- Eftersom de äger din enhet
- Eftersom en vanlig DNS-fråga färdas i klartext över det lokala nätverket som standard — Rätt.
- Eftersom HTTPS delar den här informationen med Wi-Fi-ägare
- De kan aldrig se det här under några omständigheter
Cloudflare noterar att DNS-frågor skickas i klartext som standard, läsbara av "nätverk, internetleverantörer, eller vem som helst som kan övervaka överföringar".
2. Döljer besök på en HTTPS-sida den DNS-uppslagning som hittar dess adress?
- Ja, HTTPS krypterar DNS-uppslagningen också
- Nej, den DNS-uppslagning som sker först är exponerad även när webbplatsen själv använder HTTPS — Rätt.
- Endast för .com-domäner
- Endast om en VPN också används
Cloudflare säger rakt ut att "även om en webbplats använder HTTPS är DNS-frågan som krävs för att navigera till den webbplatsen exponerad".
3. Om du byter från din internetleverantörs resolver till en annan offentlig DNS-resolver, vad förändras gällande integritet?
- Dina uppslagningar blir helt privata för alla
- Synligheten flyttas till den nya resolveroperatören istället för att försvinna — Rätt.
- Ingenting förändras alls
- Din internetleverantör kan inte längre se någon av din trafik
EFF noterar att en ny DNS-leverantör "kommer att få den information om din surfaktivitet som din internetleverantör tidigare hade" — synligheten flyttas snarare än försvinner.
Testa det med FireAI
Omsätt den här lektionen i praktiken på din egen Mac.
- Djup granskning, utan att dekryptera något — Få riktiga detaljer om en säker anslutning utan att FireAI någonsin läser vad som finns inuti den.
- Hotlistor (valfritt) — Kontrollera din trafik mot offentlig hotdata utan att skicka den någonstans.
- Blockera en app från internet, eller bara ett företag eller en domän för den — Stäng av exakt det du menar — hela appen, eller bara ett företag den pratar med.
Källor
- Cloudflare Learning: DNS over TLS vs. DNS over HTTPS
- EFF Surveillance Self-Defense: Understanding and Circumventing Network Censorship
Omsätt det på din Mac
Prova alla funktioner gratis i 17 dagar, inget kort behövs.