DNS over HTTPS и DNS over TLS: шифрованное разрешение имён

Коротко: Методы, шифрующие запросы DNS, чтобы третьи лица в сети не могли прочитать, какие сайты посещает устройство.

Подробнее: Классический DNS передаёт запросы открытым текстом по UDP, порт 53. Все на пути (оператор Wi-Fi, провайдер) видят, какие имена разрешаются, и могут подменять ответы. DoT (DNS over TLS, порт 853) и DoH (DNS over HTTPS, порт 443) помещают запросы в зашифрованное соединение.

Подробности

Различия

• DoT использует собственный порт. Операторы сети легко его распознают и могут заблокировать или специально разрешить.
• DoH идёт по обычному HTTPS-трафику (порт 443) и плохо отличим от другого веб-трафика. Браузеры вроде Firefox и Chrome могут поддерживать его напрямую, даже без настройки в операционной системе. Оба защищают путь между вами и резолвером. Сам резолвер по-прежнему видит все запросы, поэтому важно выбрать резолвер, которому вы доверяете.

См. также: DNS, DNSSEC, TLS, VPN