Protokol penyulitan DNS manakah yang paling baik melindungi trafik web anda?

Sistem Nama Domain (DNS) dianggap oleh ramai orang sebagai buku telefon Internet, menukar nama domain kepada maklumat yang boleh dibaca komputer, seperti alamat IP .

Setiap kali anda menulis nama domain dalam bar alamat, DNS secara automatik menukarnya kepada alamat IP yang sepadan. Penyemak imbas anda menggunakan maklumat ini untuk mendapatkan semula data daripada pelayan asal dan memuatkan tapak web.

Tetapi penjenayah siber selalunya boleh memantau trafik DNS, menjadikan penyulitan diperlukan untuk memastikan penyemakan imbas web anda peribadi dan selamat.

Terdapat beberapa protokol penyulitan DNS yang digunakan hari ini. Protokol penyulitan ini boleh digunakan untuk menghalang pengintipan siber dengan menyulitkan trafik dalam protokol HTTPS melalui sambungan keselamatan lapisan pengangkutan (TLS).

1. DNSCrypt

DNSCrypt ialah protokol rangkaian yang menyulitkan semua trafik DNS antara komputer pengguna dan pelayan nama awam. Protokol menggunakan infrastruktur kunci awam (PKI) untuk mengesahkan ketulenan pelayan DNS dan pelanggan anda.

Ia menggunakan dua kunci, kunci awam dan kunci persendirian, untuk mengesahkan komunikasi antara klien dan pelayan. Apabila pertanyaan DNS dimulakan, klien menyulitkan pertanyaan menggunakan kunci awam pelayan.

Pertanyaan yang disulitkan kemudiannya dihantar ke pelayan, yang menyahsulit pertanyaan menggunakan kunci peribadinya. Dengan cara ini, DNSCrypt memastikan bahawa komunikasi antara klien dan pelayan sentiasa disahkan dan disulitkan.

DNSCrypt ialah protokol rangkaian yang agak lama. Ia sebahagian besarnya telah digantikan oleh DNS-over-TLS (DoT) dan DNS-over-HTTPS (DoH) disebabkan oleh sokongan yang lebih luas dan jaminan keselamatan yang lebih kukuh yang disediakan oleh protokol yang lebih baharu ini. .

2. DNS melalui TLS

DNS-over-TLS menyulitkan pertanyaan DNS anda menggunakan Transport Layer Security (TLS). TLS memastikan bahawa pertanyaan DNS anda disulitkan dari hujung ke hujung, menghalang serangan Man-in-the-Middle (MITM) .

Apabila anda menggunakan DNS-over-TLS (DoT), pertanyaan DNS anda dihantar kepada penyelesai DNS-over-TLS dan bukannya penyelesai yang tidak disulitkan. Penyelesai DNS-over-TLS menyahkod pertanyaan DNS anda dan menghantarnya ke pelayan DNS yang berwibawa bagi pihak anda.

Port lalai untuk DoT ialah port TCP 853. Apabila anda menyambung menggunakan DoT, kedua-dua pelanggan dan penyelesai melakukan "jabat tangan" digital. Pelanggan kemudiannya menghantar pertanyaan DNSnya melalui saluran TLS yang disulitkan kepada penyelesai.

Penyelesai DNS memproses pertanyaan, mencari alamat IP yang sepadan dan menghantar semula respons kepada klien melalui saluran yang disulitkan. Pelanggan menerima respons yang disulitkan, di mana ia dinyahsulit dan pelanggan menggunakan alamat IP untuk menyambung ke tapak web atau perkhidmatan yang dikehendaki.

3. DNS melalui HTTPS

HTTPS ialah versi selamat HTTP yang kini digunakan untuk mengakses tapak web. Seperti DNS-over-TLS, DNS-over-HTTPS (DoH) juga menyulitkan semua maklumat sebelum ia dihantar melalui rangkaian.

Walaupun matlamatnya adalah sama, terdapat beberapa perbezaan asas antara DoH dan DoT. Sebagai permulaan, DoH menghantar semua pertanyaan yang disulitkan melalui HTTPS dan bukannya terus membuat sambungan TLS untuk menyulitkan trafik anda.

Kedua, ia menggunakan port 403 untuk komunikasi umum, menjadikannya sukar untuk membezakan daripada trafik web umum. DoT menggunakan port 853, yang menjadikannya lebih mudah untuk mengenal pasti trafik dari port tersebut dan menyekatnya.

DoH telah melihat penggunaan yang lebih meluas dalam pelayar web seperti Mozilla Firefox dan Google Chrome, kerana ia memanfaatkan infrastruktur HTTPS sedia ada. DoT lebih biasa digunakan oleh sistem pengendalian dan penyelesai DNS khusus, dan bukannya disepadukan terus ke dalam pelayar web.

Dua sebab utama mengapa DoH lebih diterima pakai secara meluas adalah kerana ia lebih mudah untuk disepadukan ke dalam penyemak imbas web semasa, dan yang lebih penting, ia menggabungkan dengan lancar dengan trafik web biasa, menjadikan penyekatan menjadi lebih sukar.

4. DNS atas QUIC

Berbanding dengan protokol penyulitan DNS lain dalam senarai ini, DNS-over-QUIC (DoQ) adalah agak baharu. Ini ialah protokol keselamatan yang baru muncul yang menghantar pertanyaan dan respons DNS melalui protokol pengangkutan QUIC (Sambungan Internet UDP Pantas).

Kebanyakan trafik Internet hari ini adalah berdasarkan Protokol Kawalan Penghantaran (TCP) atau Protokol Datagram Pengguna (UDP), dengan pertanyaan DNS sering dihantar melalui UDP. Walau bagaimanapun, protokol QUIC dilahirkan untuk mengatasi beberapa kelemahan TCP/UDP, membantu mengurangkan kependaman dan meningkatkan keselamatan.

QUIC ialah protokol pengangkutan yang agak baharu yang dibangunkan oleh  Google , direka untuk memberikan prestasi, keselamatan dan kebolehpercayaan yang lebih baik daripada protokol tradisional seperti TCP dan TLS. QUIC menggabungkan ciri kedua-dua TCP dan UDP dan mempunyai penyulitan terbina dalam serupa dengan TLS.

Kerana ia lebih baharu, DoQ menawarkan beberapa kelebihan berbanding protokol yang dinyatakan di atas. Sebagai permulaan, DoQ menawarkan prestasi yang lebih pantas, mengurangkan kependaman keseluruhan dan masa sambungan yang lebih baik. Ini menghasilkan resolusi DNS yang lebih pantas (masa untuk DNS menyelesaikan alamat IP). Akhirnya, ini bermakna tapak web dihidangkan kepada anda dengan lebih pantas.

Lebih penting lagi, DoQ lebih tahan terhadap kehilangan data jika dibandingkan dengan TCP dan UDP, kerana ia boleh pulih daripada paket yang hilang tanpa memerlukan penghantaran semula penuh, tidak seperti protokol berdasarkan TCP.

Tambahan pula, lebih mudah untuk memindahkan sambungan menggunakan QUIC. QUIC merangkum berbilang benang dalam satu sambungan, mengurangkan bilangan gelung yang diperlukan untuk sambungan dan dengan itu meningkatkan prestasi. Ini juga boleh berguna apabila bertukar antara WiFi dan rangkaian mudah alih.

QUIC masih tidak diterima pakai secara meluas berbanding protokol lain. Tetapi syarikat seperti Apple, Google dan Meta sudah menggunakan QUIC, selalunya mencipta versi mereka sendiri (Microsoft menggunakan MsQUIC untuk semua trafik SMBnya), yang memberi petanda baik untuk masa hadapan.

Teknologi baru muncul dijangka mengubah cara kita mengakses web secara asasnya. Sebagai contoh, banyak syarikat kini memanfaatkan teknologi blockchain untuk menawarkan protokol penamaan domain yang lebih selamat, seperti HNS dan Domain Tidak Boleh Dihentikan.