Prywatny DNS – co to jest i dlaczego musisz go mieć? Wyjaśniam w 5 minut
W jednym z ostatnich wpisów pokazałem, jak w kilkanaście minut zabezpieczyć telefon przed większością realnych zagrożeń. Wspomniałem tam o zmianie serwerów DNS jako absolutnym fundamencie cyfrowej higieny. Temat potraktowałem jednak bardzo skrótowo, co wywołało w komentarzach słuszny niedosyt.
Obiecałem rozwinąć ten wątek i wyjaśnić całą mechanikę w sposób przystępny dla osób nietechnicznych. Czas obietnicę spełnić. Zobaczmy, co dokładnie dzieje się pod maską Twojego urządzenia, gdy wpisujesz adres strony internetowej, i dlaczego przejęcie kontroli nad tym procesem to Twoja najważniejsza tarcza obronna.
1. Czym tak naprawdę jest DNS?
Najpopularniejsza definicja mówi, że DNS (Domain Name System) to internetowa książka adresowa. Ty zapamiętujesz przyjazne i łatwe do wymówienia nazwy witryn, ale komputery oraz routery komunikują się ze sobą wyłącznie za pomocą ciągów cyfr, czyli adresów IP.
Kiedy wpisujesz w przeglądarce adres mojego bloga, Twój telefon nie ma pojęcia, gdzie fizycznie znajduje się serwer, z którym musi się połączyć. Musi najpierw wysłać zapytanie w świat i zapytać o konkretny numer docelowy.
Samo porównanie do prostej książki telefonicznej jest jednak sporym uproszczeniem. DNS to w rzeczywistości potężna, globalna sieć współpracujących ze sobą centrali, pozbawiona jednej głównej bazy danych. Aby lepiej to zrozumieć, wyobraź sobie wyspecjalizowany serwer DNS (nazywany fachowo rekursywnym resolverem) jako Twojego osobistego Asystenta.
Oto droga, jaką ten Asystent musi pokonać w ułamku sekundy po kliknięciu linku:
- Pamięć podręczna (
Cache): Zanim zapytanie trafi do sieci, lokalny resolver w systemie operacyjnym Twojego urządzenia lub w routerze sprawdza własną pamięć podręczną. Asystent zagląda do podręcznego notatnika. Jeśli ktoś niedawno pytał o tę samą stronę,adres IPjest gotowy do podania, co drastycznie skraca czas ładowania i zmniejsza ruch w sieci. Połączenie następuje natychmiast. - Główna centrala (
Root Servers): Jeśli adresu brakuje w notatniku, Asystent udaje się do głównych zarządców internetu. To fundament całej sieci oparty na trzynastu potężnych klastrach serwerów rozmieszczonych na całym świecie. Oni nie znają dokładnego adresu docelowej witryny, ale wiedzą, kto zarządza wszystkimi adresami z daną końcówką i tam kierują Asystenta. - Kierownik strefy (
TLD Servers): Asystent trafia do serwera zarządzającego daną domeną najwyższego poziomu, na przykład obsługującego końcówki.pl,.netlub.space. Ten serwer posiada już informacje o rejestratorze, u którego właściciel wykupił konkretny adres, i podaje Asystentowi odpowiednie namiary. - Właściwe źródło (
Authoritative Name Server): Asystent dociera w końcu do autorytatywnego serwera, który fizycznie odpowiada za poszukiwaną domenę. To on posiada ostateczną władzę nad domeną i przechowuje rekordy z właściwym adresem IP. Nie musi już komunikować się z innymi serwerami, po prostu wydaje Asystentowi ostateczny wynik. - Powrót z adresem: Asystent wraca do Twojej przeglądarki z konkretnym ciągiem cyfr, zapisuje go w swoim notatniku na przyszłość, a Ty widzisz poprawnie załadowaną stronę internetową.
2. Dlaczego domyślny DNS to luka w prywatności?
Po wyjęciu smartfona z pudełka i pierwszym połączeniu z siecią, Twoje urządzenie domyślnie korzysta z Asystenta przydzielonego przez dostawcę internetu lub operatora sieci komórkowej. To ogromny błąd z punktu widzenia cyfrowej higieny.
Twój operator dokładnie widzi, o jakie adresy pyta Twoje urządzenie. Zna całą historię zapytań systemowych. Wie, kiedy korzystasz z aplikacji bankowej, z jakiego komunikatora wysyłasz wiadomości i jakie konkretnie serwisy odwiedzasz po zmroku. Co gorsza, klasyczne zapytania przesyłane są jawnym tekstem. Nawet jeśli sama strona WWW jest w pełni zabezpieczona kłódką szyfrowania, każdy punkt pośredniczący w sieci i tak doskonale widzi, z jaką domeną próbujesz nawiązać połączenie.
To czyste profilowanie behawioralne podane wielkim korporacjom niemalże na tacy.
3. Aktywna tarcza, czyli jak działa Prywatny DNS
Odzyskanie kontroli polega na zwolnieniu Asystenta narzuconego przez operatora i zatrudnieniu własnego, wysoce zaufanego dostawcy Prywatnego DNS, który deklaruje rygorystyczną politykę nieprzetrzymywania logów aktywności. Taka zmiana wprowadza dwa potężne mechanizmy obronne.
Szyfrowana koperta (DoH oraz DoT)
Twój nowy zaufany dostawca umieszcza wszystkie zapytania wychodzące z telefonu w zaszyfrowanym tunelu. Wykorzystuje do tego nowoczesne protokoły bezpieczeństwa. Tryb prywatny opiera się najczęściej na standardzie DNS over TLS (DoT) lub DNS over HTTPS (DoH). Dzięki wykorzystaniu kryptografii Twój dostawca internetu widzi jedynie sam fakt łączenia się z bezpiecznym serwerem DNS, ale traci całkowicie możliwość podglądania nazw wpisywanych przez Ciebie domen. Jesteś dla niego od teraz całkowicie nieprzezroczysty.
Cyfrowa czarna dziura (Sinkholing)
To absolutnie najważniejsza funkcja z perspektywy brutalnego odcinania telemetrii. Zaufany serwer DNS posiada wbudowane i nieustannie aktualizowane listy zagrożeń. Działa to jak potężny filtr ruchu sieciowego blokujący podejrzane zapytania bazując na znanych czarnych listach. Kiedy jakakolwiek usługa lub aplikacja działająca w tle na Twoim telefonie próbuje wysłać dane do serwera śledzącego, wysyła Asystenta po docelowy numer IP.
Asystent przed wyjściem w świat rzetelnie sprawdza swoją lokalną listę. Widzi jasno, że to domena przeznaczona do zbierania informacji o użytkownikach. W tym momencie odmawia wykonania polecenia. Wraca do aplikacji i kłamie, twierdząc, że taki adres w ogóle w internecie nie istnieje (najczęściej zwracając tak zwany pusty pakiet lub niefunkcjonalny adres zerowy).
Dzięki technice Sinkhole aplikacja kompletnie nie potrafi nawiązać szkodliwego połączenia. Złośliwa reklama się nie ładuje. Skrypty analityczne uderzają w próżnię, a Twoja prywatna telemetria pozostaje bezpiecznie na urządzeniu.
W ten sposób, dokonując jednej bardzo prostej zmiany w ustawieniach systemu, natychmiastowo oślepiasz skrypty śledzące we wszystkich zainstalowanych aplikacjach naraz, absolutnie nie obciążając przy tym baterii telefonu.
4. Jak wdrożyć własnego Asystenta? Praktyka dla każdego
Teoria zawsze brzmi wspaniale, ale jak przełożyć to wszystko na praktykę? Obecnie jest to wyjątkowo proste i nie wymaga dyplomu z informatyki.
Dla niespecjalistów szukających błyskawicznego rozwiązania w chmurze, idealnym wyborem są usługi takie jak NextDNS, Control D czy też AdGuard DNS. Pozwalają one na założenie darmowego konta, w którym z poziomu intuicyjnego panelu sami decydujemy, jak agresywnie chcemy wycinać reklamy i skrypty śledzące. Alternatywą dla entuzjastów kontroli nad własnym sprzętem jest postawienie lokalnego rozwiązania typu Pi-hole na minikomputerze Raspberry Pi, które działa jako domowy mechanizm Sinkhole dla wszystkich podpiętych do routera urządzeń. Zostańmy jednak przy prostej chmurze.
Ekosystem Apple (iOS oraz macOS)
Użytkownicy sprzętu od Apple mają ułatwione zadanie. Zarówno system iPhone'a jak i Maca natywnie wspierają szyfrowane protokoły DNS bez konieczności instalowania zasobożernych aplikacji firm trzecich. Wystarczy u wybranego dostawcy (na przykład NextDNS) wygenerować specjalny profil konfiguracyjny (niewielki plik o rozszerzeniu ukrytym pod nazwą .mobileconfig) i jednym kliknięciem zatwierdzić jego instalację w ustawieniach urządzenia. Od tej sekundy cały ruch automatycznie ląduje w zaszyfrowanym tunelu.
Urządzenia z systemem Android
W nowszych odsłonach oprogramowania z zielonym robotem proces ten zajmuje dosłownie trzydzieści sekund. Wystarczy otworzyć systemowe ustawienia sieciowe, wpisać w wewnętrzną wyszukiwarkę hasło Prywatny DNS, a następnie podać unikalny adres serwera wygenerowany przez naszego zaufanego operatora w wybranym profilu. System sam w sposób zautomatyzowany przejmie pełną kontrolę nad szyfrowaniem.
Tym jednym konkretnym ruchem zatrzaskujesz cyfrowe drzwi przed wścibskimi operatorami oraz masową machiną inwigilacji reklamowej. Twój nowy Asystent w końcu zaczyna pracować wyłącznie w interesie Twoim, a nie potężnych korporacji.
Wszystkie polecane przeze mnie rozwiązania, w tym wyselekcjonowanych dostawców Prywatnego DNS oraz inne bezpieczne aplikacje, znajdziesz zebrane w jednym miejscu na mojej liście: eteryu.space/curated.