Android z szyfrowanym ruchem DNS. Wbrew pozorom nie chodzi o prywatność

Google przymierza się najwyraźniej do zaszyfrowania komunikacjiAndroida z serwerami DNS. Analiza zmian koduźródłowego ujawnia wprowadzenie ustawień, pozwalającyużytkownikom włączenie komunikacji z serwerami DNS po szyfrowanympołączeniu TLS. Opcje te dodano w gałęzi deweloperskiej systemu,co sugeruje, że może zadebiutować już w Androidzie 8.1.

W normalnej komunikacji z serwerami DNS zapytania te sąprzeprowadzane tekstem jawnym, po protokole TCP i UDP, dzięki czemuosoby postronne nawet jeśli nie mogą sprawdzić samej aktywnościużytkownika w Sieci, to przynajmniej mogą poznać listę adresówinternetowych przez niego odwiedzanych.

DNS po TLS daje żądaniom rozwiązania nazw domen ten sam poziombezpieczeństwa i prywatności, co HTTPS daje żądaniom treści zserwerów webowych. Cały ruch szyfrowany jest po protokole TransportLayer Security, dzięki czemu dostawca Internetu nasłuchujący naporcie 53 nie dowie się już, że klient pytający się orozwiązanie domeny dobreprogramy.pl otrzyma w odpowiedzi adres IP194.0.171.163.

Oczywiście szyfrowane połączenia DNS wymagają skorzystania zserwera, który będzie TLS wspierał, ale w wypadku Google to niejest przecież żaden problem – firma z Mountain View od 2009 rokuutrzymuje największą publiczną usługę DNS na świecie, słynneserwery 8.8.8.8 i 8.8.4.4. Dziś odpowiadają one za rozwiązywanieponad 600 mld nazw domen dziennie.

Mimo triumfalnych deklaracji niektórych mediów, piszących wzwiązku z tą sprawą o uniemożliwieniu stronom trzecim (w tymdostawcom Internetu) podglądania aktywności użytkowników, trzebajednak przypomnieć, że szyfrowanie ruchu DNS po TLS nie zapewniawcale poufności naszych działań w Sieci. Po pierwsze, zamiast ufaćserwerom DNS lokalnego dostawcy Internetu, musimy teraz ufać Google(lub innemu dostawcy usług DNS wspierających szyfrowanie).

Po drugie, nawiązanie połączenia z hostem po HTTPS zaczyna sięod wymiany informacji między klientem a serwerem w ramach tzw.rozszerzeniaSNI (Server Name Indication) – klient wysyła do serwerainformację o nazwie hosta, z którym chce się połączyć.Oczywiście jawnym tekstem, ponieważ szyfrowanie nie zostałojeszcze ustanowione. Dlatego trudno mówić tutaj o ukryciuaktywności.

Znacznie bardziej realne jest zabezpieczenie w ten sposóbużytkowników przed wszelkiego rodzaju przekierowaniami imanipulacją ruchem DNS – uniemożliwi to ataki phishingowe,wyprowadzane na poziomie rozwiązywania nazw domen.

Drugie wyjaśnienie ociera się już o spiskową teorię dziejów– co jeśli urządzenia z Androidem 8.1 będą domyślnie ufaćwyłącznie obsługującym szyfrowanie ruchu DNS serwerom Google’a…oczywiście dla naszego bezpieczeństwa? Dysponując wglądem wzapytania DNS generowane przez najpopularniejszy na świecie systemoperacyjny, Google uzyska znacznie lepsze zrozumienie tego, co robicała ludzkość w Internecie.