Posilnenie súkromia na internete. DNS over HTTPS (DoH) a Encrypted Client Hello (ECH)
Riešenie DoH. DNS over HTTPS
https://en.wikipedia.org/wiki/DNS_over_HTTPS
Ako nastaviť túto službu? Je to možné nastaviť v nastaveniach prehliadača a PC alebo Mobile. V nastaveniach súkromia hľadajte slovo DNS Android Linux to umožňuje nastaviť pre celý OS. Pokročilé a výkonnejšie routery to umožňujú tiež.
DNS resolving pri DoH nerobí priamo ISP ale delegujete pre túto úlohu inú firmu / organizáciu. https://en.wikipedia.org/wiki/Public_recursive_name_server
V Rusku, Číne, Iráne sú tieto IT riešenia čiastočne alebo úplne blokované pretože inak by bola cenzúra internetu komplikovaná. ISP nevidí priamo akú stránku pozeráte ale musí si tieto informácie viac pracne dohľadávať resp. použiť na to IT riešenia, ktoré nie sú úplne najjednoduchšie. V masovom merítku v štátoch kde je cenzúra internetu to môže znamenať významne dodatočné náklady (vrátane hardvérových) pre ISP.
Aj napriek tomu keď používate DoH IPS vidí IP adresu DNS servera na ktorý sa pripájate. IP adresa servera je prepojená s konkrétnou webstránkou / doménou.
Kontrola či Váš prehliadač podporuje / má natavené DoH
https://1.1.1.1/help
https://www.dnsleaktest.com/
https://browserleaks.com/dns
DNS over TLS
https://en.wikipedia.org/wiki/DNS_over_TLS
Staršia alternatíva ku DoH, má špecifický port a pre cenzorov sa služba ľahšie blokuje,
Server Name Indication (SNI)
https://en.wikipedia.org/wiki/Server_Name_Indication
Zoznámenie sa s terminológiou. Je to IT riešenie známe už cca 25 rokov Nie je samo o sebe šifrovanie. SNI je systém ktorý v prípade že na rovnakú IP je prepojených viac webov / domén, určuje na ktoré konkrétnu doménu sa chcete pripojiť. Pravdepodobne došlo ku zlyhaniu pri samotnej tvorbe HTTPS / TLS protokolu, že táto forma komunikácie dodnes nie je šifrovaná a dodatočne to tam pridať nie je jednoduché kvôli kompatibilite. Aj keď máte v prehliadači aktívne DoH, SNI nie je šifrované.
Encrypted Client Hello (ECH)
Keď som už vysvetlil princíp fungovania SNI, teraz pochopíte ako funguje nový protokol ECH. ECH šifruje SNI. Anonymita je posilnená len vtedy ak poskytovateľ DNS hostingu na jednu IP adresu registruje viac domén – typický príklad je CloudFlare. ECH samo o sebe pre ISP neskrýva IP adresu DNS servera.
Veľká škoda, že ECH nepodporuje každá stránka ktorá má HTTPS. Podpora tejto novej technológie je zatiaľ minimálna. Slovenskí hosting poskytovatelia zväčša vyhradia na každú doménu osobitnú IP DNS adresu, takže masová podpora ECH do budúcna nie je pravdepodobná.
Z vlastnej skúsenosti môžem potvrdiť, že CloudFlare má tieto služby nastavené ako predvolené v prípade ak máte nastavené šifrovanie nielen medzi návštevníkom a DNS serverom ale aj medzi DNS serverom a koncovým hosting serverom A.
Technológia ECH umožňuje DNS hosting poskytovateľom registrovať na jednu kontaktnú IP adresu niekoľko desiatok alebo stoviek tisíc domén. ISP nemá ako zistiť ktorú konkrétnu doménu z niekoľko tisíc sa práve v prehliadači pozeráte.
V prípade masovej podpory ECH u web stránok by bola miera anonymity na internete porovnateľná s VPN.
Upozornenie: ECH bez DoH nemá zmysel. Skontrolujte si či máte v prehliadači aktivované oboje.
Kontrola či daná stránka podporuje ECH, doplnok https://addons.mozilla.org/sk/firefox/addon/oh-my-ech/
Kontrola v termináli, podpora ECH, príklad príkazu, vo výstupe nájdete „ech“. Príklad konkrétnej webstránky https://defo.ie/host defo.ie
Webstránky na kontrolu či nastavenia vášho prehliadača podporujú ECH
Ak podporuje ECH, zobrazí sni=encrypted
https://crypto.cloudflare.com/cdn-cgi/trace
https://defo.ie/ech-check.php
https://www.cloudflare.com/ssl/encrypted-sni
Nastavenie DoT / DoH pre celý Linux (Ubuntu)
Otvorenie a editácia konfiguračného súboru, dve riešeniasudo nano /etc/systemd/resolved.conf
Alebokate /etc/systemd/resolved.conf
Vzorový obsah konfiguračného súboru[Resolve]DNS=1.1.1.1#cloudflare-dns.com 1.0.0.1#cloudflare-dns.comDNSOverTLS=yesDNSSEC=yesFallbackDNS=8.8.8.8#dns.google 9.9.9.9#dns.quad9.net
Reštartovanie služby aby sa zmena v systéme prejavilasudo systemctl restart systemd-resolved
Kontrola, či sa zmeny prejaviliresolvectl status
DNS-over-QUIC
https://en.wikipedia.org/wiki/QUIC
Nová technológia. Podporuje AdGuard Home, Control D, Quad9
DNSCrypt
https://en.wikipedia.org/wiki/DNSCrypt
DNSCrypt je alternatíva k DoH a DoT. Technológia začala byť skorej vyvýjaná ako DoH a DoT.
*******************************************************
Aké sú najznámejšie DNS resolvery
Je to trochu odbočenie od hlavnej témy ale dám to sem
Cloudflare resolver
https://en.wikipedia.org/wiki/1.1.1.1
Google Public DNS
https://en.wikipedia.org/wiki/Google_Public_DNS
DNS4EU resolver
https://joindns4.eu/
https://en.wikipedia.org/wiki/DNS4EU
Projekt Európskej komisie. Európska iniciatíva zameraná na vytvorenie bezpečného a súkromného verejného DNS resolvera.
Na Chromium Linix a Chrome Android je možné nastaviť DNS4EU resolver ako jednu z predvolených možností.
Osobne mám vyššiu dôveru v Google alebo CloudFlare ako ku DNS4EU, pretože málokto bojuje proti ochrane súkromia tak ako Európska komisia – napríklad bláznivé nápady ako Chat Control, či ďalšia chystaná legislatíva overovania veku na internete (povinné skenovanie občianskeho preukazu alebo tváre na niektorých platformách).
Ak by mala Európska komisia zlé úmysly (čo sa snažím veriť že nemá), tak vybudovaním DNS4EU je vybudovaná infraštruktúra na potencionálnu budúcu cenzúru internetu po vzore Číny či Ruska. Stačí cez legislatívu od poskytovateľov internetu povinne vyžadovať aby ako resolver povinne používali DNS4EU a žiaden iný. Keby aj nejaká fyzická osoba chcela používať cez nastavenia prehliadača iný resoler, je možné ho zablokovať, ak by mali poskytovatelia internetu takúto povinnosť z legislatívy.
DNS4EU je samo o sebe dobrá vec, avšak je tu priestor takýto projekt zneužiť zo strany politikov.
DNS4EU na jednej strane robí EU nezávislou od amerických korporácii, na strane druhej ak je to politický projekt a nie projekt súkromnej firmy, nepôsobí to tak dôveryhodne.
AdGuard DNS resolver
Testoval som, a jedná sa o čiastočné a nie veľmi spoľahlivé blokovanie reklám. V prehliadači je lepšie mať klasický doplnok typu AdBlock. Do DNS nastavení Opera, Chromium treba zadať https://dns.adguard.com/dns-query
Pre Android. Naopak veľmi pozitívnu skúsenosť s AdGuard DNS resolver mám pri globálnych nastaveniach pre celý Android. Reklamy v aplikáciach vám to bude blokovať spoľahlivo. Spoľahlivo ako blokátor reklám funguje ale len v iných aplikáciach ako prehliadač.
Do globálnych nastavení Androidu zadajte dns.adguard.com ... Je to automaticky šifrované cez DoT
Zaujímavosť: AdGuard DNS resolver blokuje reklamy iným spôsobom ako na báze VPN filtra: to jest na princípe DoH.
Quad9
je bezplatná, celosvetová verejná služba DNS (Domain Name System), ktorej hlavným cieľom je zvýšiť bezpečnosť a ochranu súkromia používateľov pri prehliadaní internetu. Sídli vo Švajčiarsku a funguje ako nezisková organizácia.
************
AdGuard Home (komplexné riešenie)
https://adguard.com/en/adguard-home/overview.html
Je to Open Source projekt, čo zvyšuje transparentnosť a dôveryhodnosť. Podpora linuxu. Spravuje sa cez prehliadač, kde je možné vidieť bohaté štatistiky. Globálna podpora OS (nielen podpora konkrétnej aplikácie)
Podpora DoH, DNSCrypt a DNS-over-QUIC, atď. ...
************
Zaujímavosť: Vďaka protokolu HTTPS ISP vidí len doménu ale nie konkrétnu URL adresu ktorú si pozeráte.
Prílohy
Pre pridávanie komentárov sa musíte prihlásiť.
SP nevidí priamo akú stránku pozeráte ale musí si tieto informácie viac pracne dohľadávať resp. použiť na to IT riešenia, ktoré nie sú úplne najjednoduchšie.Standardne nastavenie IT Infrastructure Monitoring & Alerting centra je logovanie na 12 mesiacov ukladania logov.
Loguje sa:
1. pocet PC za modemom (vratane IP a ciest na IP na ktore chodi)
2. Cesta modemu k serveru s ISC DHCP.
3. Navstivene IP z modemu. toto sluzi na monitorovanie spotreby dát, keďže poskytovatelia internetových služieb (ISP) sledujú používanie internetu, aby monitorovali vašu spotrebu dát, najmä v regiónoch, kde sa uplatňujú dátové limity alebo internetové plány založené na spotrebe. A na sledovanie používania internetu, čo pomáha poskytovateľom internetových služieb spravovať sieťovú prevádzku a zabezpečiť optimálny výkon pre všetkých používateľov vrátane identifikácie a riešenia problémov s preťažením.
Tieto informácie sa používajú na obmedzovanie pripojenia na internet.
ISP sledujú webové stránky, ktoré navštevujete, zaznamenávajú adriesy URL, ku ktorým pristupujete.
Tieto informácie poskytujú prehľad o zvykoch a záujmoch pri prehliadaní. Vhodné pre políciu a / alebo reklamný marketing
Ďalej sa logujú vyhľadávacie dopyty, ktoré odhaľujú témy a informácie, ktoré vás zaujímajú, a môžu byť použité na cielenú reklamu alebo na iné účely.
Je to jednoduché a zároveň komplexné, teraz sa k tomu dopĺňajú informacie z mobilov (rovnako povinnosť) a pokiaľ nie je anonymný prípojný bod, tak smolíček.
Na SR sa monitoruje komunikacia na protokole pripojenia, napríklad cez DOCSIS (kablové pripojenie) alebo cez HTTP, HTTPS, BitTorrent či protokoly hier / herných platforiem.
Režimy súkromného prehliadania, ako napríklad Inkognito a Súkromné prehliadanie, bránia vášmu prehliadaču v ukladaní lokálnych údajov, ako sú súbory cookie alebo história prehliadania, ale poskytovatelia internetových služieb stále vidia webové stránky, ktoré navštevujete, pretože vaša prevádzka prechádza cez ich servery. Súkromné prehliadanie bráni iba lokálnemu ukladaniu údajov. Neskrýva online aktivitu pred vaším poskytovateľom internetových služieb. Rovnako ako TOR.
Vymazaná história. ISP stále uchováva záznamy o vašej internetovej aktivite. Po prechode údajov cez ich servery ISP zaznamenáva a ukladá informácie, aj keď ste ich lokálne vymazali.
Rovnako koľko krat sa pristupovalo k internet bankingu a podobne.
No nechce sa mi to všetko spisovať. ostatne kedysi som o tom pisal. Anonymita a taktiez na Hysterke a BH
Diki za koment. Zdá sa že máš bohaté skúsenosti so správou siete. Niektoré pojmy čo si spomínal som si musel vyhľadať v AI aby som pochopil :D
som "byvaly" systemovy admin. a v 2002-2004 som bol pri aplikacii Chello v SR.
Heh no problem je ze clanok zaujimavy (o DNS) ale pokial nie je neregistrovana ceska tel. karta, pristup mimo domu a svojho telefonu, tak sa vsetko da sparovat
tak to, co tu opisujes, je fakt hodne tych >20 rokov dozadu.
ISP sledujú webové stránky, ktoré navštevujete, zaznamenávajú adriesy URL, ku ktorým pristupujete.
odkial IPS zisti, aku URL som navstivil?
Tieto informácie poskytujú prehľad o zvykoch a záujmoch pri prehliadaní. Vhodné pre políciu a / alebo reklamný marketing
Ďalej sa logujú vyhľadávacie dopyty, ktoré odhaľujú témy a informácie, ktoré vás zaujímajú, a môžu byť použité na cielenú reklamu alebo na iné účely.
ehm aky marketing, aku cielenu reklamu? koho? akoze ISP "dava" informacie o mne nejakej tretej strane?
ale poskytovatelia internetových služieb stále vidia webové stránky, ktoré navštevujete, pretože vaša prevádzka prechádza cez ich servery
rili?!?!?! snazis sa tu vytvorit dojem kinga, ale pises tu totalne bludy..
ale teda pokial to su tvoje "vedomosti" z pred tych >20 rokov, tak sa ani necudujem...
>>> "DNS resolving pri DoH nerobí priamo ISP ale delegujete pre túto úlohu inú firmu / organizáciu."
Toto tvrdenie určite nie je pravda.
Zistil som, že Telekom ako ISP poskytuje DoH aj DoT a nikam DNS resolving nedeleguje.
Mimochodom, DoH alebo DoT je len spôsob prenosu DNS dotazu medzi klientom a serverom a resolving sa robí až po dekryptovaní poslaného DNS dotazu. Najmä pri DoH je to veľmi podobné ako HTTPS.