Урок 2 з 4 · 6 хв

Хто бачить ваші DNS-пошуки

Звичайний DNS-пошук подорожує незашифрованим. Ось хто саме має змогу його прочитати і чому це важливо навіть на сайті з HTTPS.

Попереднє заняття простежило DNS-пошук від вашого Mac до резолвера й назад. Ця подорож за замовчуванням не приватна. Навчальний центр Cloudflare прямо про це каже: «за замовчуванням DNS-запити й відповіді надсилаються у відкритому тексті (через UDP), а це означає, що їх можуть прочитати мережі, інтернет-провайдери чи будь-хто, здатний спостерігати за передачею. Навіть якщо сайт використовує HTTPS, DNS-запит, потрібний, щоб перейти на цей сайт, залишається відкритим».

Уявіть звичайний, незашифрований DNS-запит як листівку, надіслану поштою: будь-хто, хто обробляє пошту, може випадково побачити текст, написаний на звороті.
Навчальний центр Cloudflare

Хто може прочитати цю листівку

Звичайний DNS-пошук, без шифрування. Наступне заняття розглядає, що змінює його шифрування.
Хто	Що вони зазвичай можуть бачити	Чому
Той, хто керує Wi-Fi чи локальною мережею (кав’ярня, офіс, аеропорт)	Імена сайтів, які шукає ваш пристрій, поки під’єднаний	Звичайний DNS-запит незашифрований, тож усе, що спостерігає за локальною мережею, може його прочитати
Ваш інтернет-провайдер, якщо ви використовуєте його типовий резолвер	Кожне ім’я сайту, яке шукає ваш пристрій, прив’язане до вашого облікового запису	Резолвер провайдера відповідає на запит напряму
Сторонній резолвер (наприклад, публічний сервіс DNS), якщо ви на нього перейшли	Ті самі пошуки, замість вашого провайдера	Хтось завжди відповідає на запит; зміна резолвера переміщує видимість, а не прибирає її

Останній рядок важливий і його часто пропускають: відхід від резолвера провайдера не робить DNS приватним, він лише переміщує видимість. Electronic Frontier Foundation прямо каже про це, обговорюючи блокування на основі DNS: «ваш новий постачальник DNS отримає ту інформацію про вашу активність перегляду, яку раніше мав ваш провайдер, що може бути проблемою конфіденційності». Хтось відповідає на кожен пошук; питання лише в тому, хто саме і що він робить із цим записом.

Чому пошук імені важливий навіть із HTTPS

HTTPS шифрує вміст сторінки і точний шлях, який ви запитуєте на сайті, але не шифрує DNS-пошук, що відбувається спочатку, щоб узагалі знайти адресу цього сайту. Тож навіть у повністю зашифрованому з’єднанні послідовність імен сайтів, які шукав ваш пристрій, і коли, часто видима будь-кому, хто спостерігає за мережею чи керує резолвером, — а це саме той тип метаданих, який описує вступний курс цього університету: не вміст того, що ви читаєте, а запис того, куди ви ходили.

Перевірка, який резолвер налаштований на Mac

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns перелічує резолвер (чи резолвери), яким ваш Mac зараз надсилає пошуки для кожного типу мережі, до якої під’єднаний. Це корисна перша перевірка, перш ніж припускати, хто бачить ваші пошуки: відповідь повністю залежить від того, який резолвер налаштовано, і на з’єднаннях провайдера, Wi-Fi та VPN він може змінюватися непомітно для вас.

Головне

Звичайний DNS-пошук подорожує незашифрованим, тож будь-хто, хто може спостерігати за шляхом мережі — власник Wi-Fi, провайдер — може його прочитати.
HTTPS шифрує вміст і шляхи сторінки, але не DNS-пошук, що спочатку знаходить адресу сайту.
Перехід на інший DNS-резолвер переміщує те, хто бачить ваші пошуки; він не робить сам пошук приватним.
Запис того, які сайти ви шукали і коли, — це метадані, які можуть важити навіть без вмісту того, що ви читали.
Перевірити, який резолвер використовує ваш Mac, можна командою `scutil --dns`.

Перевірте себе

1. Чому власник Wi-Fi мережі в кав’ярні зазвичай може бачити, які сайти ви шукали?
- Тому що він володіє вашим пристроєм
- Тому що звичайний DNS-запит за замовчуванням подорожує у відкритому тексті локальною мережею — Правильно.
- Тому що HTTPS ділиться цією інформацією з власниками Wi-Fi
- Вони не можуть бачити це за жодних обставин
Cloudflare зазначає, що DNS-запити за замовчуванням надсилаються у відкритому тексті, читабельні для «мереж, провайдерів чи будь-кого, здатного спостерігати за передачею».
2. Чи приховує відвідування сайту з HTTPS DNS-пошук, що знаходить його адресу?
- Так, HTTPS шифрує і DNS-пошук теж
- Ні, DNS-пошук, що відбувається спочатку, відкритий, навіть коли сам сайт використовує HTTPS — Правильно.
- Лише для доменів .com
- Лише якщо також використовується VPN
Cloudflare прямо стверджує, що «навіть якщо сайт використовує HTTPS, DNS-запит, потрібний, щоб перейти на цей сайт, залишається відкритим».
3. Якщо ви переходите з резолвера провайдера на інший публічний DNS-резолвер, що змінюється щодо конфіденційності?
- Ваші пошуки стають повністю приватними для всіх
- Видимість переміщується до оператора нового резолвера, а не зникає — Правильно.
- Нічого не змінюється взагалі
- Ваш провайдер більше не бачить жодного вашого трафіку
EFF зазначає, що новий постачальник DNS «отримає ту інформацію про вашу активність перегляду, яку раніше мав ваш провайдер» — видимість переміщується, а не зникає.

Застосуйте на практиці з FireAI

Застосуйте цей урок на своєму Mac.

Джерела

Застосуйте це на своєму Mac

Усі функції безкоштовно на 17 днів, без банківської картки.

Завантажити для Mac Документація