HisnLabsDers 2 / 4 · 6 dk
DNS aramalarınızı kim görür
Düz bir DNS araması şifrelenmemiş olarak ilerler. İşte tam olarak kimin onu okuyabilecek konumda olduğu ve bunun bir HTTPS sitesinde bile neden önemli olduğu.
Önceki ders, bir DNS aramasını Mac’inizden bir çözümleyiciye ve geri takip etti. O yolculuk varsayılan olarak gizli değildir. Cloudflare’ın Öğrenme Merkezi bu konuda açıktır: “varsayılan olarak, DNS sorguları ve yanıtları düz metin olarak (UDP üzerinden) gönderilir, bu da ağlar, İSS’ler veya iletimleri izleyebilen herhangi biri tarafından okunabilecekleri anlamına gelir. Bir web sitesi HTTPS kullansa bile, o web sitesine gitmek için gereken DNS sorgusu açığa çıkar.”
Normal, şifrelenmemiş bir DNS sorgusunu postayla gönderilen bir kartpostal gibi düşünün: postayı elleyen herkes kartpostalın arkasına yazılan metne gözü ilişebilir.
Cloudflare Öğrenme Merkezi
O kartpostalı okuyabilecek konumda kim var
| Kim | Tipik olarak neyi görebilir | Neden |
|---|---|---|
| Wi-Fi veya yerel ağı kim işletiyorsa (bir kafe, bir ofis, bir havalimanı) | Cihazınızın bağlıyken aradığı site isimleri | Düz bir DNS sorgusu şifrelenmemiştir, bu yüzden yerel ağı gözlemleyen her şey onu okuyabilir |
| İnternet servis sağlayıcınız (İSS), varsayılan çözümleyicisini kullanıyorsanız | Cihazınızın aradığı, hesabınıza bağlı her site ismi | İSS’nin çözümleyicisi sorguyu doğrudan yanıtlar |
| Üçüncü taraf bir çözümleyici (örn. herkese açık bir DNS hizmeti), birine geçtiyseniz | İSS’niz yerine aynı aramalar | Sorguyu her zaman biri yanıtlar; çözümleyiciyi değiştirmek görünürlüğü taşır, onu kaldırmaz |
O son satır önemlidir ve genellikle gözden kaçırılır: bir İSS’nin çözümleyicisinden uzaklaşmak DNS’i gizli yapmaz, görünürlüğü yeniden yerleştirir. Electronic Frontier Foundation, DNS tabanlı engellemeyi tartışırken bunu açıkça ifade eder: “yeni DNS sağlayıcınız, İSS’nizin bir zamanlar sahip olduğu göz atma etkinliğinize dair bilgiyi elde edecektir, bu da bir gizlilik endişesi olabilir.” Her aramayı biri yanıtlar; soru, kimin yanıtladığı ve o kayıtla ne yaptığıdır.
Bir isim araması HTTPS ile bile neden önemlidir
HTTPS, bir sayfanın içeriğini ve bir sitede talep ettiğiniz tam yolu şifreler, ama o sitenin adresini bulmak için önce gerçekleşen DNS aramasını şifrelemez. Bu yüzden tamamen şifrelenmiş bir bağlantıda bile, cihazınızın aradığı site isimlerinin sırası ve ne zaman arandığı, ağı izleyen veya çözümleyiciyi işleten herkese genellikle görünürdür; bu, tam olarak bu üniversitenin giriş kursunun tanımladığı türden bir meta veridir: okuduğunuzun içeriği değil, nereye gittiğinizin bir kaydı.
scutil --dns
DNS configuration
resolver #1
nameserver[0] : 127.0.2.2
nameserver[1] : 127.0.2.3
...scutil --dns, Mac’inizin bulunduğu her ağ türü için aramalarını şu anda hangi çözümleyiciye (ya da çözümleyicilere) gönderdiğini listeler. Aramalarınızı kimin görebileceğini varsaymadan önce yapılacak yararlı bir ilk kontroldür: yanıt, tamamen hangi çözümleyicinin yapılandırıldığına bağlıdır ve İSS, Wi-Fi ve VPN bağlantılarında siz fark etmeden değişebilir.
Akılda kalsın
- Düz bir DNS araması şifrelenmemiş olarak ilerler, bu yüzden ağ yolunu gözlemleyebilen herkes — Wi-Fi sahibi, İSS — onu okuyabilir.
- HTTPS, sayfa içeriğini ve yolları şifreler, ama sitenin adresini baştan bulan DNS aramasını şifrelemez.
- Farklı bir DNS çözümleyiciye geçmek, aramalarınızı kimin gördüğünü yeniden yerleştirir; aramanın kendisini gizli yapmaz.
- Hangi siteleri aradığınızın ve ne zaman aradığınızın kaydı, okuduğunuzun içeriği olmasa bile önemli olabilecek bir meta veridir.
- Mac’inizin hangi çözümleyiciyi kullandığını `scutil --dns` ile kontrol edebilirsiniz.
Kendinizi sınayın
1. Bir kafe Wi-Fi ağının sahibi tipik olarak hangi siteleri aradığınızı neden görebilir?
- Çünkü cihazınızın sahibidir
- Çünkü düz bir DNS sorgusu varsayılan olarak yerel ağ üzerinde düz metin olarak ilerler — Doğru.
- Çünkü HTTPS bu bilgiyi Wi-Fi sahipleriyle paylaşır
- Bunu hiçbir koşulda göremezler
Cloudflare, DNS sorgularının varsayılan olarak düz metin olarak gönderildiğini ve “ağlar, İSS’ler veya iletimleri izleyebilen herhangi biri” tarafından okunabildiğini belirtir.
2. Bir HTTPS sitesini ziyaret etmek, adresini bulan DNS aramasını gizler mi?
- Evet, HTTPS DNS aramasını da şifreler
- Hayır, önce gerçekleşen DNS araması, sitenin kendisi HTTPS kullansa bile açığa çıkar — Doğru.
- Yalnızca .com alan adları için
- Yalnızca bir VPN de kullanılıyorsa
Cloudflare açıkça, “bir web sitesi HTTPS kullansa bile, o web sitesine gitmek için gereken DNS sorgusunun açığa çıktığını” belirtir.
3. İSS’nizin çözümleyicisinden farklı, herkese açık bir DNS çözümleyicisine geçerseniz, gizlilik konusunda ne değişir?
- Aramalarınız herkes için tamamen gizli hale gelir
- Görünürlük kaybolmak yerine yeni çözümleyici işletmecisine taşınır — Doğru.
- Hiçbir şey değişmez
- İSS’niz artık trafiğinizin hiçbirini göremez
EFF, yeni bir DNS sağlayıcısının “İSS’nizin bir zamanlar sahip olduğu göz atma etkinliğinize dair bilgiyi elde edeceğini” belirtir — görünürlük yok olmak yerine yeniden yerleşir.
FireAI ile uygulayın
Bu dersi kendi Mac’inizde uygulamaya koyun.
- Hiçbir şeyin şifresini çözmeden derin inceleme — FireAI hiçbir zaman içini okumadan, güvenli bir bağlantı hakkında gerçek ayrıntılar edinin.
- Tehdit listeleri (isteğe bağlı) — Trafiğinizi hiçbir yere göndermeden genel tehdit verilerine karşı kontrol edin.
- Bir uygulamayı internetten tamamen engelleyin, ya da sadece bir şirket veya alan adını — Tam olarak amaçladığınızı kesin — uygulamanın tamamını, ya da konuştuğu sadece bir şirketi.
Kaynaklar
- Cloudflare Learning: DNS over TLS vs. DNS over HTTPS
- EFF Surveillance Self-Defense: Understanding and Circumventing Network Censorship
Mac’inizde uygulayın
Tüm özellikleri 17 gün ücretsiz deneyin, kart gerekmez.