O que é DNS-Over-HTTPS e como ativá-lo em seu dispositivo (ou navegador)

Experimente Nosso Instrumento Para Eliminar Problemas

DNS-over-HTTPS (Secure DNS) é uma nova tecnologia que visa tornar a navegação na web segura, criptografando a comunicação entre o computador cliente e o servidor DNS.

Este novo padrão da Internet está sendo amplamente adotado. A lista de adoção inclui Windows 10 (versão 2004), Android 9 Pie, Google Chrome, Mozilla Firefox, Microsoft Edge, Opera e Vivaldi, para citar alguns.

Neste artigo, discutiremos as vantagens e desvantagens do DNS sobre HTTPS e como habilitar esse protocolo em seus dispositivos.

Também discutiremos como testar se o DoH está habilitado para seus dispositivos ou não.

Vamos começar. Resumo Rápido ocultar 1 Uma explicação simples de DNS-over-HTTPS e como funciona 2 Prós e contras do DNS sobre HTTPS 2,1 DoH não permite privacidade total do usuário 2,2 DoH não se aplica a consultas HTTP 2,3 Nem todos os servidores DNS suportam DoH 2,4 DoH será uma dor de cabeça para as empresas 3 O uso de DNS sobre HTTPS torna a navegação mais lenta? 4 Como habilitar ou desabilitar DNS-over-HTTPS no Windows 10 4,1 Usando o Registro do Windows 4,2 Usando a Política de Grupo 4,3 Usando PowerShell (linha de comando) 5 Como habilitar ou desabilitar DNS-over-HTTPS em seus navegadores 5,1 Habilite DNS-over-HTTPS no Google Chrome 5,2 Habilite DNS-over-HTTPS no Mozilla Firefox 5,3 Habilitar DNS-over-HTTPS no Microsoft Edge 5,4 Habilitar DNS-over-HTTPS no navegador Opera 5,5 Habilitar DNS-over-HTTPS no navegador Vivaldi 6 Como habilitar DNS-over-HTTPS no Android 7 Como você verifica se está usando DNS-over-HTTPS? 8 Lista de servidores de nomes que suportam DoH

Uma explicação simples de DNS-over-HTTPS e como funciona

DNS-over-HTTPS (DoH) é um protocolo para criptografar consultas DNS entre seu computador e o servidor DNS. Foi introduzido pela primeira vez em outubro de 2018 ( IETF RFC 8484 ) com o objetivo de aumentar a segurança e a privacidade do usuário.

Os servidores DNS tradicionais usam a porta 53 do DNS para comunicação, enquanto o DNS sobre HTTPS usa a porta 443 do HTTPS para se comunicar com segurança com o cliente.

Observe que embora o DoH seja um protocolo de segurança, ele não impede que os ISPs rastreiem suas solicitações. Ele simplesmente criptografa os dados de consulta DNS entre seu computador e o ISP para evitar problemas como spoofing, ataque man-in-the-middle etc.

Vamos entender isso com um exemplo simples.

Veja como funciona o DNS:

  1. Se você deseja abrir o nome de domínio itechtics.com e solicitá-lo usando seu navegador.
  2. Seu navegador envia uma solicitação ao servidor DNS configurado em seu sistema, por exemplo, 1.1.1.1.
  3. O resolvedor recursivo DNS (1.1.1.1) vai para os servidores raiz do domínio de nível superior (TLD) (.com em nosso caso) e pede os servidores de nome de itechtics.com.
  4. Em seguida, o servidor DNS (1.1.1.1) vai para os servidores de nome de itechtics.com e pede o endereço IP do nome DNS itechtics.com.
  5. O servidor DNS (1.1.1.1) carrega essas informações para o navegador e o navegador se conecta a itechtics.com e obtém uma resposta do servidor.

Toda essa comunicação do seu computador para o servidor DNS, para os servidores DNS TLD, para os servidores de nomes para o site e vice-versa, é feita na forma de mensagens de texto simples.

Isso significa que qualquer pessoa pode monitorar seu tráfego da web e saber facilmente quais sites você está abrindo.

O DNS sobre HTTPS criptografa toda a comunicação entre o seu computador e o servidor DNS, tornando-o mais seguro e menos sujeito a ataques man-in-the-middle e outros spoofing.

Vamos entender isso com um exemplo visual:

Quando o cliente DNS envia consultas DNS ao servidor DNS sem usar DoH:

DNS sobre HTTPS não habilitado

Quando um cliente DoH usa o protocolo DoH para enviar tráfego DNS para o servidor DNS habilitado para DoH:

DNS sobre HTTPS habilitado

Aqui você pode ver que o tráfego DNS do cliente para o servidor é criptografado e ninguém sabe o que o cliente solicitou. A resposta DNS do servidor também é criptografada.

Prós e contras do DNS sobre HTTPS

Embora o DNS sobre HTTPS substitua lentamente o sistema DNS legado, ele traz suas próprias vantagens e problemas potenciais. Vamos discutir alguns deles aqui.

DoH não permite privacidade completa do usuário

O DoH é apontado como a próxima grande novidade em privacidade e segurança do usuário, mas, em minha opinião, ele se concentra apenas na segurança do usuário e não na privacidade.

Se você souber como esse protocolo funciona, saberá que o DoH não impede que os ISPs rastreiem as solicitações de DNS dos usuários.

Mesmo que o ISP não consiga rastreá-lo usando o DNS porque você está usando um provedor DNS público diferente, há muitos pontos de dados que ainda estão abertos aos ISPs para rastreamento. Por exemplo, Campos de indicação do nome do servidor (SNI) e Conexões de protocolo de status de certificado online (OCSP) etc.

Se você quiser mais privacidade, deve verificar outras tecnologias como DNS-over-TLS (DoT), DNSCurve, DNSCrypt etc.

DoH não se aplica a consultas HTTP

Se você estiver abrindo um site que não opera usando SSL, o servidor DoH usará a tecnologia DNS legada (DNS-over-HTTP) também conhecida como Do53.

Mas se você estiver usando comunicação segura em todos os lugares, o DoH é definitivamente melhor do que usar as tecnologias DNS inseguras e antigas.

Nem todos os servidores DNS suportam DoH

Há um grande número de servidores DNS legados que precisarão ser atualizados para oferecer suporte a DNS sobre HTTPS. Isso levará muito tempo para uma adoção generalizada.

Até que esse protocolo seja compatível com a maioria dos servidores DNS, a maioria dos usuários será forçada a usar os servidores DNS públicos oferecidos por grandes organizações.

Isso levará a mais problemas de privacidade, pois a maioria dos dados DNS será coletada em alguns locais centralizados ao redor do mundo.

Outra desvantagem da adoção antecipada do DoH é que, se um servidor DNS global ficar inativo, ele desarmará a maioria dos usuários que usam o servidor para resolução de nomes.

DoH será uma dor de cabeça para as empresas

Embora o DoH melhore a segurança, será uma dor de cabeça para empresas e organizações que monitoram as atividades de seus funcionários e usam ferramentas para bloquear partes NSFW (não seguras para o trabalho) da web.

Os administradores de rede e de sistema terão dificuldade em lidar com o novo protocolo.

O uso de DNS sobre HTTPS torna a navegação mais lenta?

Há dois aspectos do DoH a serem observados ao testar o desempenho em relação ao protocolo Do53 legado:

  1. Desempenho de resolução de nome
  2. Desempenho de carregamento de página da web

O desempenho da resolução de nomes é a métrica que usamos para calcular o tempo que o servidor DNS leva para nos fornecer o endereço IP do servidor necessário do site que desejamos visitar.

O desempenho de carregamento da página da Web é a métrica real para saber se sentimos alguma lentidão quando navegamos na Internet usando o protocolo DNS sobre HTTPS.

Ambos os testes foram realizados por samknows e o resultado final é que há uma diferença insignificante no desempenho entre DNS-over-HTTPS e os protocolos legados Do53.

Você pode ler o estudo de caso completo de desempenho com estatísticas na samknows .

Aqui estão as tabelas de resumo para cada métrica definida acima. (Clique na imagem para ampliá-la)

Teste de desempenho de resolução de nome Tabela de desempenho de ISPs DoH vs Do53

Tabela de desempenho de ISPs DoH vs Do53

Teste de desempenho de carregamento de página da web Desempenho de carregamento de página da web DoH vs Do53

Desempenho de carregamento de página da web DoH vs Do53

Como habilitar ou desabilitar DNS-over-HTTPS no Windows 10

O Windows 10 Versão 2004 virá com DNS sobre HTTPS habilitado por padrão. Portanto, assim que a próxima versão do Windows 10 for lançada e você atualizar para a versão mais recente, não haverá necessidade de habilitar o DoH manualmente.

No entanto, se você estiver usando o Windows 10 Insider Preview, será necessário habilitar o DoH manualmente usando os seguintes métodos:

Usando o Registro do Windows

  1. Vamos para Executar -> regedit . Isso abrirá o Editor de registro do Windows.
  2. Abra a seguinte chave de registro:
    HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDnscacheParameters
  3. Clique com o botão direito em Parâmetros pasta e selecione Novo -> DWORD (32 bits) Valor.
  4. Diga EnableAutoDoh .
  5. Defina o valor da entrada EnableAutoDoh para 2 .

Você precisará reiniciar o computador para que as alterações tenham efeito.

Observe que essa alteração entrará em vigor apenas quando você estiver usando os servidores DNS que oferecem suporte a DNS sobre HTTPS. Abaixo você encontrará um lista de provedores de DNS públicos que suportam DoH .

As versões anteriores do Windows 10, incluindo a versão 1909 e 1903, não oferecem suporte a DoH por padrão.

Usando a Política de Grupo

Estou mantendo esta seção para uso futuro. No momento, não há regras de política de grupo para DNS sobre HTTPS. Nós preencheremos as etapas quando a Microsoft as disponibilizar para o Windows 10 Versão 2004.

Usando PowerShell (linha de comando)

Estou mantendo esta seção para uso futuro. Se a Microsoft fornecer uma maneira de habilitar ou desabilitar o DoH usando a linha de comando, listaremos as etapas aqui.

Como habilitar ou desabilitar DNS-over-HTTPS em seus navegadores

Alguns aplicativos suportam ignorar o servidor DNS configurado pelo sistema e usar DNS sobre HTTPS em seu lugar. Quase todos os navegadores modernos já suportam DoH ou irão suportar o protocolo em um futuro próximo.

Habilite DNS-over-HTTPS no Google Chrome

  1. Abra o Google Chrome e vá para o seguinte URL:
    chrome://settings/security
  2. Debaixo Segurança Avançada , ligar Use DNS seguro .
  3. Depois de habilitar o DNS seguro, haverá duas opções:
    • Com o seu provedor de serviços atual
    • Com os provedores de serviços recomendados do Google

Você pode selecionar o que mais lhe convier. A segunda opção substituirá as configurações de DNS do seu sistema.

Habilite DNS seguro no Google Chrome

Para desativar o DoH, basta alternar o Use DNS seguro configurações para desligado .

Habilite DNS-over-HTTPS no Mozilla Firefox

  1. Abra o Firefox e vá para o seguinte URL:
    about:preferences
  2. Debaixo em geral , vamos para Configurações de rede e clique no Definições botão. Ou simplesmente pressione o E tecla do teclado para abrir as configurações.
  3. Role até o final e Verifica Habilitar DNS sobre HTTPS .
  4. No menu suspenso, você pode escolher seu servidor DNS seguro preferido.

Habilitar DNS-over-HTTPS no Microsoft Edge

  1. Abra o Microsoft Edge e vá para o seguinte URL:
    edge://flags/#dns-over-https
  2. Selecione Habilitado na lista suspensa ao lado Pesquisas DNS seguras .
  3. Reinicie o navegador para que as alterações tenham efeito.

Habilitar DNS-over-HTTPS no navegador Opera

  1. Abra o navegador Opera e vá para Configurações (Alt + P).
  2. Expandir Avançado no menu à esquerda.
  3. Em Sistema, ligar Use DNS-over-HTTPS em vez das configurações DNS do sistema .
  4. Reinicie o navegador para que as alterações tenham efeito.

As configurações de DNS seguras não entraram em vigor até que eu desativei o serviço VPN integrado do Opera. Se você está tendo problemas para habilitar o DoH no Opera, tente desabilitar a VPN.

Habilitar DNS-over-HTTPS no navegador Vivaldi

  1. Abra o navegador Vivaldi e acesse a seguinte URL:
    vivaldi://flags/#dns-over-https
  2. Selecione Habilitado na lista suspensa ao lado Pesquisas DNS seguras .
  3. Reinicie o navegador para que as alterações tenham efeito.

Como habilitar DNS-over-HTTPS no Android

O Android 9 Pie oferece suporte a configurações DoH. Você pode seguir as etapas abaixo para habilitar o DoH em seu telefone Android:

  1. Vamos para Configurações → Rede e internet → Avançado → DNS privado .
  2. Você pode definir esta opção como Automático ou pode especificar um provedor de DNS seguro por conta própria.

Se você não conseguir encontrar essas configurações em seu telefone, siga as etapas abaixo:

  1. Baixe e abra o aplicativo QuickShortcutMaker na Google Play Store.
  2. Vá para Configurações e toque em:
    com.android.settings.Settings$NetworkDashboardActivity

Isso o levará diretamente para a página de configurações de rede, onde encontrará a opção DNS seguro.

Como você verifica se está usando DNS-over-HTTPS?

Existem duas maneiras de verificar se o DoH está habilitado corretamente para o seu dispositivo ou navegador.

A maneira mais fácil de verificar isso é acessando esta página de verificação de experiência de navegação na nuvem . Clique no Verifique meu navegador botão.

Em DNS seguro, você receberá a seguinte mensagem se estiver usando DoH: pktmon filter remove

Se você não estiver usando DoH, receberá a seguinte mensagem: pktmon filter add -p 53

O Windows 10 Versão 2004 também oferece uma maneira de monitorar os pacotes da porta 53 em tempo real. Isso nos dirá se o sistema está usando DNS-over-HTTPS ou o legado Do53.

  1. Abra o PowerShell com privilégios administrativos.
  2. Execute os seguintes comandos:
    pktmon start --etw -m real-time
    Isso remove todos os filtros ativos, se houver. 
    You are using encrypted DNS transport with 1.1.1.1

    Isso adiciona a porta 53 a ser monitorada e registrada. 
    You may not be using secure DNS.

    Isso começa com o monitoramento em tempo real da porta 53.

Se você vir muito tráfego sendo mostrado na lista, isso significa que o Do53 legado está sendo usado em vez do DoH.

Observe que os comandos mencionados acima só funcionarão no Windows 10 versão 2004. Caso contrário, ele apresentará um erro: Parâmetro desconhecido em 'tempo real'

Lista de servidores de nomes que suportam DoH

Aqui está a lista de provedores de serviços DNS que oferecem suporte a DNS sobre HTTPS.

Fornecedor nome de anfitrião Endereço de IP
AdGuarddns.adguard.com176,103,130,132
176.103.130.134
AdGuarddns-family.adguard.com176,103,130,132
176.103.130.134
CleanBrowsingfamily-filter-dns.cleanbrowsing.org185.228.168.168
185.228.169.168
CleanBrowsingadult-filter-dns.cleanbrowsing.org185.228.168.10
185.228.169.11
Cloudflareum.um.um.um
1dot1dot1dot1.cloudflare-dns.com		1.1.1.1
1.0.0.1
Cloudflaresecurity.cloudflare-dns.com1.1.1.2
1.0.0.2
Cloudflarefamily.cloudflare-dns.com1.1.1.3
1.0.0.3
Googledns.google
google-public-dns-a.google.com
google-public-dns-b.google.com		8.8.8.8
8.8.4.4
NextDNSdns.nextdns.io45,90,28,0
45,90,30,0
OpenDNSdns.opendns.com208.67.222.222
208.67.220.220
OpenDNSfamilyshield.opendns.com208.67.222.123
208.67.220.123
OpenDNSsandbox.opendns.com208.67.222.2
208.67.220.2
Quad9dns.quad9.net
rpz-public-resolver1.rrdns.pch.net		9.9.9.9
149.112.112.112

Embora o DNS sobre HTTPS torne a web mais segura e deva ser implementado uniformemente em toda a web (como no caso do HTTPS), este protocolo vai dar pesadelos aos administradores de sistemas.

Os administradores de sistemas precisam encontrar maneiras de bloquear os serviços DNS públicos e, ao mesmo tempo, habilitar seus servidores DNS internos para usar o DoH. Isso precisa ser feito para manter o equipamento de monitoramento atual e as políticas de restrição ativas em toda a organização.

Se eu perdi alguma coisa no artigo, por favor me avise nos comentários abaixo. Se gostou do artigo e aprendeu algo novo, por favor, compartilhe com seus amigos e nas redes sociais e assine nossa newsletter.