DNS over HTTPS і DNS over TLS: шифроване розв’язання імен

Коротко: Методи, що шифрують запити DNS, щоб треті особи в мережі не могли прочитати, які сайти відвідує пристрій.

Докладніше: Класичний DNS передає запити відкритим текстом по UDP, порт 53. Усі на шляху (оператор Wi-Fi, провайдер) бачать, які імена розв’язуються, і можуть підміняти відповіді. DoT (DNS over TLS, порт 853) і DoH (DNS over HTTPS, порт 443) поміщають запити в зашифроване з’єднання.

Подробиці

Відмінності

• DoT використовує власний порт. Оператори мережі легко його розпізнають і можуть заблокувати або спеціально дозволити.
• DoH іде звичайним HTTPS-трафіком (порт 443) і важко відрізняється від іншого вебтрафіку. Браузери на кшталт Firefox і Chrome можуть підтримувати його напряму, навіть без налаштування в операційній системі. Обидва захищають шлях між вами та резолвером. Сам резолвер і далі бачить усі запити, тому важливо обрати резолвер, якому ви довіряєте.

Див. також: DNS, DNSSEC, TLS, VPN