Hangi DNS şifreleme protokolü web trafiğinizi en iyi şekilde korur?

Etki Alanı Adı Sistemi (DNS), birçok kişi tarafından, etki alanı adlarını IP adresleri gibi bilgisayar tarafından okunabilen bilgilere dönüştüren İnternet'in telefon rehberi olarak kabul edilir .

Adres çubuğuna bir alan adı yazdığınızda, DNS bunu otomatik olarak ilgili IP adresine dönüştürür. Tarayıcınız bu bilgiyi kaynak sunucudan veri almak ve web sitesini yüklemek için kullanır.

Ancak siber suçlular genellikle DNS trafiğini izleyebilir ve bu da web taramanızı gizli ve güvenli tutmak için şifrelemeyi gerekli hale getirir.

Günümüzde kullanılan birkaç DNS şifreleme protokolü vardır. Bu şifreleme protokolleri, bir aktarım katmanı güvenliği (TLS) bağlantısı üzerinden HTTPS protokolündeki trafiği şifreleyerek siber gözetlemeyi önlemek için kullanılabilir.

1. DNS Şifresi

DNSCrypt, kullanıcının bilgisayarı ile genel ad sunucusu arasındaki tüm DNS trafiğini şifreleyen bir ağ protokolüdür. Protokol, DNS sunucunuzun ve istemcilerinizin orijinalliğini doğrulamak için ortak anahtar altyapısını (PKI) kullanır.

İstemci ve sunucu arasındaki iletişimi doğrulamak için genel anahtar ve özel anahtar olmak üzere iki anahtar kullanır. Bir DNS sorgusu başlatıldığında istemci, sunucunun genel anahtarını kullanarak sorguyu şifreler.

Şifrelenmiş sorgu daha sonra sunucuya gönderilir ve sunucu da kendi özel anahtarını kullanarak sorgunun şifresini çözer. Bu şekilde DNSCrypt, istemci ile sunucu arasındaki iletişimin her zaman doğrulanmasını ve şifrelenmesini sağlar.

DNSCrypt nispeten eski bir ağ protokolüdür. Bu yeni protokollerin sağladığı daha geniş destek ve daha güçlü güvenlik garantileri nedeniyle yerini büyük ölçüde DNS-over-TLS (DoT) ve DNS-over-HTTPS (DoH) almıştır.

2. TLS üzerinden DNS

TLS üzerinden DNS, Aktarım Katmanı Güvenliği'ni (TLS) kullanarak DNS sorgularınızı şifreler. TLS, DNS sorgularınızın uçtan uca şifrelenmesini sağlayarak Ortadaki Adam (MITM) saldırılarını önler .

TLS üzerinden DNS (DoT) kullandığınızda, DNS sorgularınız şifrelenmemiş çözümleyici yerine TLS üzerinden DNS çözümleyicisine gönderilir. TLS üzerinden DNS çözümleyicisi, DNS sorgunuzun kodunu çözer ve bunu sizin adınıza yetkili DNS sunucusuna gönderir.

DoT için varsayılan bağlantı noktası TCP bağlantı noktası 853'tür. DoT kullanarak bağlandığınızda, hem istemci hem de çözümleyici dijital bir "el sıkışma" gerçekleştirir. İstemci daha sonra DNS sorgusunu şifrelenmiş TLS kanalı üzerinden çözümleyiciye gönderir.

DNS çözümleyici sorguyu işler, ilgili IP adresini bulur ve yanıtı şifreli bir kanal aracılığıyla istemciye geri gönderir. İstemci şifrelenmiş yanıtı alır, burada şifresi çözülür ve müşteri istenen web sitesine veya hizmete bağlanmak için IP adresini kullanır.

3. HTTPS üzerinden DNS

HTTPS, şu anda web sitelerine erişmek için kullanılan HTTP'nin güvenli sürümüdür. TLS üzerinden DNS gibi, HTTPS üzerinden DNS (DoH) de tüm bilgileri ağ üzerinden gönderilmeden önce şifreler.

Amaç aynı olsa da DoH ile DoT arasında bazı temel farklılıklar vardır. Yeni başlayanlar için DoH, trafiğinizi şifrelemek için doğrudan bir TLS bağlantısı oluşturmak yerine tüm şifrelenmiş sorguları HTTPS üzerinden gönderir.

İkincisi, genel iletişim için 403 numaralı bağlantı noktasını kullanır, bu da genel web trafiğinden ayırt edilmesini zorlaştırır. DoT, 853 numaralı bağlantı noktasını kullanır; bu, söz konusu bağlantı noktasından gelen trafiği tanımlamayı ve engellemeyi çok daha kolaylaştırır.

DoH, mevcut HTTPS altyapısını güçlendirdiği için Mozilla Firefox ve Google Chrome gibi web tarayıcılarında daha geniş çapta benimsenmiştir. DoT, doğrudan web tarayıcılarına entegre edilmek yerine, işletim sistemleri ve özel DNS çözümleyicileri tarafından daha yaygın olarak kullanılır.

DoH'un daha yaygın olarak benimsenmesinin iki ana nedeni, mevcut web tarayıcılarına entegrasyonunun çok daha kolay olması ve daha da önemlisi, normal web trafiğiyle sorunsuz bir şekilde karışarak engellemeyi çok daha zor hale getirmesidir.

4. QUIC üzerinden DNS

Bu listedeki diğer DNS şifreleme protokolleriyle karşılaştırıldığında, DNS-over-QUIC (DoQ) nispeten yenidir. Bu, QUIC (Hızlı UDP İnternet Bağlantıları) aktarım protokolü üzerinden DNS sorgularını ve yanıtlarını gönderen yeni ortaya çıkan bir güvenlik protokolüdür.

Günümüzde İnternet trafiğinin çoğu, İletim Kontrol Protokolü'ne (TCP) veya Kullanıcı Datagram Protokolü'ne (UDP) dayalıdır ve DNS sorguları genellikle UDP üzerinden gönderilir. Ancak QUIC protokolü, TCP/UDP'nin bazı dezavantajlarının üstesinden gelmek, gecikmeyi azaltmaya ve güvenliği artırmaya yardımcı olmak için doğmuştur.

QUIC, Google tarafından geliştirilen , TCP ve TLS gibi geleneksel protokollere göre daha iyi performans, güvenlik ve güvenilirlik sağlamak üzere tasarlanmış nispeten yeni bir aktarım protokolüdür  . QUIC, hem TCP hem de UDP'nin özelliklerini birleştirir ve TLS'ye benzer yerleşik şifrelemeye sahiptir.

Daha yeni olduğu için DoQ yukarıda bahsedilen protokollere göre çeşitli avantajlar sunar. Yeni başlayanlar için DoQ daha hızlı performans, azaltılmış genel gecikme süresi ve iyileştirilmiş bağlantı süreleri sunar. Bu, daha hızlı DNS çözümlemesiyle sonuçlanır (DNS'nin IP adreslerini çözümleme süresi). Sonuçta bu, web sitelerinin size daha hızlı sunulması anlamına gelir.

Daha da önemlisi DoQ, TCP tabanlı protokollerin aksine, tam yeniden iletim gerektirmeden kayıp paketlerden kurtarılabildiğinden, TCP ve UDP ile karşılaştırıldığında veri kaybına karşı daha dayanıklıdır.

Ayrıca QUIC kullanarak bağlantıları taşımak da çok daha kolaydır. QUIC, tek bir bağlantıda birden fazla iş parçacığını kapsülleyerek bir bağlantı için gereken döngü sayısını azaltır ve böylece performansı artırır. Bu, WiFi ve mobil ağlar arasında geçiş yaparken de yararlı olabilir.

QUIC, diğer protokollerle karşılaştırıldığında hala yaygın olarak benimsenmemiştir. Ancak Apple, Google ve Meta gibi şirketler zaten QUIC kullanıyor ve sıklıkla kendi sürümlerini oluşturuyor (Microsoft, tüm KOBİ trafiği için MsQUIC'i kullanıyor), bu da gelecek için iyiye işaret.

Gelişen teknolojilerin internete erişim şeklimizi temelden değiştirmesi bekleniyor. Örneğin, birçok şirket artık HNS ve Durdurulamayan Etki Alanları gibi daha güvenli alan adı adlandırma protokolleri sunmak için blockchain teknolojilerinden yararlanıyor.