Šifrování výrazně zlepšilo bezpečnost internetu. Stále jsou však prvky, které šifrované nejsou a mohou pro uživatele znamenat nemalé riziko. Jedním z nich je překlad adres webových stránek na IP adresy. Jak si můžete DNS zabezpečit?
Dnes je šifrované spojení na internetu přes HTTPS standardem. Šifrování pomáhá chránit citlivé informace přenášené přes internet, jako jsou hesla, čísla kreditních karet i běžnou komunikaci.
Jak spolu komunikují počítače?
Nicméně, volání DNS serverů (překlad webové adresy na IP adresu) se zatím odehrává nešifrovaně. Když zadáte do webového prohlížeče adresu inSmart.cz, váš prohlížeč se zeptá několika DNS serverů a čeká na odpověď od prvního, aby mu prozradil, za jakou IP adresou se „schovávají“ data, která chcete načíst. Webový prohlížeč je pak načte a zobrazí.
Ani šifrované HTTPS nás před sledováním na internetu nechrání
Všechny kontaktované DNS servery včetně směrovačů, přes které data procházejí, si mohou snadno přečíst informaci, které stránky navštěvujete. Na první pohled jde možná o bezcenný kus dat, pokud však algoritmus dokáže zanalyzovat vaše chování na webu (díky tomu, které stránky čtete, kde nakupujete apod.), mohou být tato data použita např. na lepší cílenou reklamu.
Co je však horší, pokud útočník vidí váš nešifrovaný požadavek, může vám předhodit jinou odpověď, než očekáváte – jde o typický scam, tzn. DNS Hijacking. V praxi si tak můžete myslet, že se nacházíte na stránce své banky a ve skutečnosti jste na podvodné stránce útočníka.
Šifrování DNS přes HTTPS? Další krok k anonymitě na internetu
A právě zde přichází do hry DNS přes HTTPS – technologie šifrování, která DNS požadavky (překlady adres) zašifruje a umožní pouze konkrétnímu prohlížeči a vybraným DNS serverům rozklíčovat překlad. Tzv. spoofing útoky se tak stanou minulostí. Technologii DNS-over-HTTPS (DoH) již dnes podporují giganti jako Google či Cloudfare.
Na první pohled vše vypadá výborně, kde je tedy háček? Paradoxně v samotné ochraně soukromí. Pokud např. využíváte rodičovskou kontrolu a neumožňujete svým dětem navštěvovat některé kategorie stránek, ty se dějí právě na úrovni kontroly DNS požadavků. Šifrováním DoH tato služba nebude správně fungovat.
Stejně tak ochrana před malwarem šířícím se po internetu – antivirus a antimalware uživatele často chrání před pochybnými IP adresami. Při využití DoH antivirus nebude vědět, jakou IP adresu povolit a jakou zakázat, neboť je tato informace šifrována. Problém nastává v momentě, kdy zjistíme, že mnoho aplikací (ať už mobilních, Windows, MacOS či linuxových) nativní DoH nepodporuje.
DoH je sice správná cesta, vyžaduje však změnu implementace dnešních technologických řešení. Už jen všechna nová IoT zařízení v domácnosti, která s DoH v zásadě nepočítala, budou problém.
Chcete si zachovat kontrolu? Řešením je nastavení DoH na routeru
Možným řešením je přenechání DoH na domácím routeru. Technologii podporují např. routery od Synology s balíčkem Synology Router Manager (SRM od verze 1.2.3). Směrovač s podporou DoH tak všechny DNS požadavky zašifruje až v momentě, kdy se má kontaktovat s vnějším světem, v rámci domácnosti funguje DNS stejně, jak jste byli zvyklí doposud.
Rodičovský zámek i antivirus bude fungovat jako doposud, zároveň však DoH chrání před sledováním a útoky z vnější strany. Nyní totiž stále platí, že poskytovatel internetového připojení a další subjekty vidí, na jaké weby se připojujete. Nutně už neví, co tam děláte, ale i tak jde o poměrně zásadní informaci.
Využíváním DoH, které už lze nalézt integrované v prohlížečích Firefox a Chrome (je třeba aktivovat), je možné zabránit sledování vašich aktivit na straně poskytovatele internetu. Stejně tak by nasazení technologie mohlo do jisté míry eliminovat internetovou cenzuru.
