Privacidade no DNS
24/08/2022
O sistema de nomes de domínio DNS (Domain Name System) é um sistema de nomenclatura hierárquica que permite que os usuários da Internet usem nomes em vez de precisar lembrar endereços IP numéricos. Com o aumento de dispositivos conectados à Internet e a necessidade de encontrar uma maneira mais fácil de lembrar os IP, tornou-se necessário criar um sistema que atendesse a esse requisito.
Desde seu desenvolvimento inicial, elementos como as extensões de segurança (Domain Name Security Extensions) ou DNSSEC foram incorporados ao DNS. Embora o DNSSEC autentique as respostas às pesquisas de nomes de domínio, este não fornece proteções de privacidade para essas pesquisas, embora evita que atacantes possam manipular as respostas aos pedidos de DNS.
As consultas ao DNS são transmitidas em texto simples e podem revelar informações sensíveis sobre que sites um usuário visita, e também dados sobre outros serviços fornecidos em determinados domínios. Isso pode facilitar a coleta dessas informações para fins indesejados.
No IETF[1] têm ocorrido discussões sobre o assunto em torno do desenvolvimento de vários protocolos, como o DNS Query Name Minimization (Qname), DNS-sobre-TLS (DoT), DNS sobre Datagram Transport Layer Security (DTLS), DNS-sobre-HTTPS (DoH), e outras ideias em desenvolvimento como DNS-sobre-Quic (DoQ) que tentam adicionar privacidade às consultas DNS feitas pelos usuários.
Embora, em geral, os itens de configuração técnica não estejam disponíveis para todos os usuários, é necessário simplificar a operação e a aplicação desses protocolos para garantir a privacidade de nossas consultas ao DNS.
Outro ponto relevante a ser lembrado é que, embora todos os protocolos desenvolvidos até o momento busquem dar privacidade às consultas, isso não pode ser 100% garantido, pois as consultas nos extremos ainda estão em texto simples. De fato, os resolvedores precisam essas informações em texto simples para poder processá-las.
Alternativas preferidas
Quando os usuários inserem um URL em seu navegador, é feita uma consulta ao DNS para converter a parte do domínio do URL em um endereço IP. A não ser que haja um servidor DNS na rede local, o pedido de resolução de nomes precisa passar pela rede do provedor de serviços da Internet e por qualquer roteador existente entre o ISP e o servidor DNS.
Embora existam diferentes alternativas de protocolos que buscam dar privacidade às consultas ao DNS, de forma prática o DNS-sobre-TLS (DoT) e DNS-sobre-HTTPS (DoH) são os mais disseminados e usados atualmente devido às suas características técnicas e de implementação.
No caso do DoT, criado pelo RFC 7858, permite que todas as consultas e respostas DNS sejam criptografadas por meio do protocolo TLS, fornecendo uma troca de dados segura entre o cliente e o servidor web, ao transferir as consultas através de um túnel criptografado onde apenas os dois participantes da troca podem descriptografar e processar os dados. Isso permite que os dados sejam transmitidos por conexões TCP simples na camada 4 e pela porta 853.
Em termos de desempenho, este protocolo permite manter a resolução de consultas DNS, oferecendo funcionalidade e compatibilidade nos resolvedores tanto do lado do cliente quanto do lado do servidor. Caso a consulta não possa ser feita, o DNS tem a possibilidade de responder em texto simples de qualquer forma, dando continuidade ao serviço.
O DNS sobre HTTPS (DoH) é outro protocolo de segurança desenvolvido no IETF por meio do RFC 8484, que usa a porta 443 para enviar as consultas através do tráfego HTTPS, o que dificulta a identificação em particular porque vai misturado com o tráfego dos navegadores.
Embora o DoH forneça privacidade nas consultas, concentra a maior parte dos dados DNS nos resolvedores, fornecendo a estas informações, por exemplo, sobre o roteamento do tráfego da Internet, bem como o acesso a grandes quantidades de dados de usuários, o que resulta inconveniente.
O DoH pode ser problemático para empresas ou corporações que monitoram as consultas ao DNS de seus funcionários a fim de bloquear o acesso a sites maliciosos ou inadequados. Isso cria um ponto cego para monitorar porque todo o tráfego é enviado criptografado pela porta 443.
Em relação ao desempenho do protocolo, apesar de os servidores DNS terem sido projetados para “cachear” eficientemente as consultas que recebem e o impacto desde o lado do usuário ser menor, o fato de adicionar mais camadas de negociação (camada 7) como faz o DoH, acrescenta processamento adicional aos servidores, somando maiores latências nas respostas.
Qual protocolo é melhor?
O DoH fornece privacidade uma vez que oculta todas as consultas no tráfego HTTPS regular, mas sua “resolução” é feita entre os navegadores e resolvedores, concentrando grandes quantidades de informações de consulta em poucos resolvedores.
Alguns navegadores anunciaram que habilitariam o protocolo DoH por padrão. No entanto, isso teria sido contraproducente, pois um grande número de usuários sem habilidades técnicas exaustivas usa seus equipamentos com as configurações padrão, e isso os houvesse obrigado a adotar esse protocolo sem conhecer suas consequências.
Cada protocolo é projetado para evitar um tipo específico de ameaça. No caso do DoH, foi desenvolvido com o objetivo de prevenir possíveis espionagens e/ou censuras por parte de alguns governos, encapsulando as consultas ao DNS dentro de uma sessão HTTPS.
O DoT seguiu os mesmos passos de evolução de outros protocolos tais como o HTTP, IMAP, POP, FTP, etc., o que é positivo. Também oferece maior segurança, pois é transmitido na camada de transporte de maneira criptografada.
Levando em consideração que a privacidade não é objetiva, mas subjetiva, uma vez que depende do que cada usuário quiser priorizar, no momento o DoT é uma alternativa melhor perante os riscos que o DoH apresenta para ser usado como protocolo de privacidade.
Referências:
Mockapetris, P., “Domain names: Concepts and facilities”, RFC 882, DOI 10.17487/RFC0882, novembro de 1983,
https://www.rfc-editor.org/info/rfc882.
Consortium, I. S. (6 de março de 2019). QNAME minimization and your privacy. ISC – ISC.
https://www.isc.org/blogs/qname-minimization-and-privacy/
Bortzmeyer, S., “DNS Query Name Minimisation to Improve Privacy”, RFC 7816, DOI 10.17487/RFC7816, março de 2016,
https://www.rfc-editor.org/info/rfc7816.
Hu, Z., Zhu, L., Heidemann, J., Mankin, A., Wessels, D., and P. Hoffman, “Specification for DNS over Transport Layer Security (TLS)”, RFC 7858, DOI 10.17487/RFC7858, maio de 2016,
https://www.rfc-editor.org/info/rfc7858.
Reddy, T., Wing, D., and P. Patil, “DNS over Datagram Transport Layer Security (DTLS)”, RFC 8094, DOI 10.17487/RFC8094, fevereiro de 2017,
https://www.rfc-editor.org/info/rfc8094.
Hoffman, P. and P. McManus, “DNS Queries over HTTPS (DoH)”, RFC 8484, DOI 10.17487/RFC8484, outubro de 2018,
https://www.rfc-editor.org/info/rfc8484.
Internet Society. (2 de dezembro de 2019). O que é um ataque de intermediário (MITM) ISOC?
https://www.internetsociety.org/es/blog/2019/11/que-es-un-ataque-de-intermediario-mitm-por-sus-siglas-en-ingles/
Internet Society, (21 de março de 2019). DNS privacy. ISOC.
https://www.internetsociety.org/deploy360/dns-privacy/
DNS Privacy Project :: www.dnsprivacy.org.
https://dnsprivacy.org/
LACNIC, (outubro de 2019). Painel Privacidade no DNS,
https://www.lacnic.net/innovaportal/file/4020/1/panel-privacidad-dns-intro-v3.pdf
LACNIC 32. (8 de outubro de 2018) Painel – Evolução da privacidade e segurança do DNS [Vídeo]. YouTube.
https://www.youtube.com/watch?v=c-YE1_aBa8k
LACTLD RELATÓRIO #12 (29 de dezembro de 2020). Privacidade no DNS. LACTLD.
https://lactld.org/wp-content/uploads/2021/01/LACTLD-Report12-ES.pdf
[1] Internet Engineering Task Force (IETF) é uma organização internacional aberta de padronização, cujos objetivos são contribuir com a engenharia da Internet, atuando em diferentes áreas, como transporte, roteamento e segurança.