第 2 课，共 4 课 · 6 分钟

谁能看到你的 DNS 查询

一次普通的 DNS 查询是未加密传输的。这里说明究竟谁有能力读取它，以及为什么即使在一个 HTTPS 网站上这也很重要。

上一课追踪了一次 DNS 查询从你的 Mac 到解析器再返回的全过程。这趟旅程默认并不私密。Cloudflare 学习中心对此说得很直接：“默认情况下，DNS 查询和应答是以明文形式发送的（通过 UDP），这意味着网络、ISP，或任何能够监听传输的人都能读取它们。即使一个网站使用 HTTPS，访问该网站所需的 DNS 查询依然是暴露的。”

可以把一次普通的、未加密的 DNS 查询想象成一张通过邮寄发送的明信片：任何经手这封邮件的人，都可能顺便瞥见背面写的文字。
Cloudflare 学习中心

谁有能力读到那张明信片

一次未加密的普通 DNS 查询。下一课会讲加密会改变什么。
谁	他们通常能看到什么	原因
运营 Wi-Fi 或本地网络的人（咖啡馆、办公室、机场）	你的设备联网期间查询过的网站名称	普通的 DNS 查询未加密，因此任何监听本地网络的人都能读取它
你的互联网服务提供商（ISP），如果你使用它的默认解析器	你的设备查询过的每一个网站名称，并与你的账户关联	ISP 的解析器会直接回答这个查询
第三方解析器（例如某个公共 DNS 服务），如果你已经切换到它	同样的查询内容，只是换成了它而不是你的 ISP	总会有人来回答这个查询；更换解析器只是转移了这份可见性，而不是消除它

最后一行很重要，而且常常被忽略：换掉 ISP 的解析器并不会让 DNS 变得私密，只是把这份可见性转移了地方。电子前哨基金会在讨论基于 DNS 的封锁时说得很直白：“你的新 DNS 提供商将获得你的 ISP 之前掌握的浏览活动信息，这可能带来隐私方面的担忧。”每一次查询总会有人来回答；问题在于是谁在回答，以及他们会如何处理这份记录。

为什么名称查询即使在 HTTPS 下也很重要

HTTPS 会加密页面内容和你在网站上请求的确切路径，但它不会加密最先发生的那次 DNS 查询——毕竟得先找到这个网站的地址才行。因此，即便在一条完全加密的连接上，你的设备查询过哪些网站名称、什么时候查询的这一系列记录，往往依然对监视网络或运营解析器的人可见——这正是本课程导论中所描述的那种元数据：不是你所阅读内容本身，而是你去过哪里的记录。

检查 Mac 当前配置使用的解析器

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns 会列出你的 Mac 当前针对所连接的每一种网络，把查询发送给哪个（或哪些）解析器。在假设谁能看到你的查询之前，先做这项检查很有用：答案完全取决于配置了哪个解析器，而在 ISP、Wi-Fi 和 VPN 连接之间，它可能在你没有察觉的情况下发生变化。

要点

一次普通的 DNS 查询是未加密传输的，因此任何能观察到网络路径的人——Wi-Fi 所有者、ISP——都能读取它。
HTTPS 会加密页面内容和路径，但不会加密最先用来找到网站地址的那次 DNS 查询。
切换到另一个 DNS 解析器只是转移了谁能看到你的查询，并不会让查询本身变得私密。
你查询过哪些网站、什么时候查询的这份记录，即使不涉及你阅读内容本身，也是可能很重要的元数据。
你可以用 `scutil --dns` 检查你的 Mac 正在使用哪个解析器。

自我检测

1. 为什么咖啡馆 Wi-Fi 网络的所有者通常能看到你查询过哪些网站？
- 因为他们拥有你的设备
- 因为普通的 DNS 查询默认以明文形式在本地网络上传输 — 正确。
- 因为 HTTPS 会把这份信息共享给 Wi-Fi 所有者
- 在任何情况下他们都看不到这些
Cloudflare 指出，DNS 查询默认以明文形式发送，“网络、ISP，或任何能够监听传输的人”都能读取它们。
2. 访问一个 HTTPS 网站，能否隐藏用于找到其地址的那次 DNS 查询？
- 能，HTTPS 也会加密 DNS 查询
- 不能，即便网站本身使用 HTTPS，最先发生的那次 DNS 查询依然是暴露的 — 正确。
- 仅限 .com 域名
- 只有同时使用 VPN 时才行
Cloudflare 明确指出：“即使一个网站使用 HTTPS，访问该网站所需的 DNS 查询依然是暴露的。”
3. 如果你把 ISP 的解析器换成另一个公共 DNS 解析器，隐私方面会发生什么变化？
- 你的查询对所有人都变得完全私密
- 这份可见性转移到了新的解析器运营者身上，而不是消失了 — 正确。
- 完全没有任何变化
- 你的 ISP 将无法再看到你的任何流量
EFF 指出，新的 DNS 提供商“将获得你的 ISP 之前掌握的浏览活动信息”——可见性是转移了，而不是消失了。

用 FireAI 动手做

在你自己的 Mac 上练习这节课的内容。

来源

在你的 Mac 上实践

免费试用全部功能 17 天，无需绑定银行卡。

下载 Mac 版文档