Nevedel som, že môj poskytovateľ internetu môže vidieť každú webovú stránku, ktorú navštívim, kým som si nepozrel toto nastavenie

Minulý týždeň som volal svojmu poskytovateľovi internetu kvôli nestabilnému optickému pripojeniu a v polovici hovoru mi zástupca pokojne prečítal výrobcu môjho routera, verziu firmvéru a oba názvy mojich Wi-Fi sietí. Ja som im to nijako nepovedal. Chvíľu som sedel a snažil sa prísť na to, ako to vedia, a potom ma zasiahla nepríjemná doplňujúca otázka: ak to môžu vidieť, čo ešte vidia? Dokopy, ako ďaleko do mojej siete naozaj vidia?

Toto ma zaujalo a po menšom pátraní sa ukázalo, že detaily smerovača sú najmenej zaujímavou časťou, pretože každá jedna webová stránka, ktorú navštívim, prechádza cez DNS resolver môjho poskytovateľa internetu v nešifrovanej podobe. Každé vyhľadávanie, každá doména je označená mojou IP adresou a časovou pečiatkou. Považoval som za samozrejmé, že ma chráni HTTPS. Chrániť ma to však nezaštiťuje. A riešenie sa ukázalo byť jedným nastavením, ktoré som si nikdy na žiadnom zo svojich počítačov neskontroloval.

Váš poskytovateľ internetových služieb môže podľa predvoleného nastavenia vidieť každú doménu, ktorú navštívite

Vrstva DNS je slabé miesto vo vašom pripojení

I vždy, keď otvorím webovú stránku alebo spustím aplikáciu, musí môj telefón alebo počítač preložiť názov domény ako youtube.com na IP adresu. Ten preklad je DNS dopyt a štandardne ide priamo k resolveru môjho poskytovateľa internetu nezabezpečený. Vidia časovú pečiatku, moju verejnú IP adresu a presný názov hostiteľa. Robte to niekoľko tisíc ráz denne na každom zariadení v domácnosti a získate podrobný obraz.

Zaujímavé je, koľko toho tento záznam odhaľuje bez toho, aby sa dotkol akejkoľvek stránky obsahu. Medzery a špičky v DNS prevádzke ukazujú, kedy sa zobúdzam, kedy spím a kedy odchádzam z domu. Domény naznačujú moju banku, moje streamingové služby, zdravotnícke stránky, ktoré som kontroloval, a každý inteligentný prístroj v mojej sieti, ktorý sa pripája domov. Nie je to len história prehliadača, ale každá aplikácia na každom zariadení, zachytená centrálne, a väčšina ľudí sa nikdy nedotkne predvoleného DNS, ktorý im poskytuje smerovač.

HTTPS šifruje stránku, nie vyhľadávanie

Prečo zámok v prehliadači nie je celým príbehom

Väčšina ľudí si myslí, že ikona zámku na vašom prehliadači znamená koniec diskusie. Ak sa stránka načíta cez HTTPS, obsah je šifrovaný, takže poskytovateľ internetových služieb nemôže čítať stránku, na ktorej sa nachádzate, ani formulár, ktorý vyplňujete. Tá časť je stále pravdivá. To, čo je tiež pravda, je, že vyhľadávanie DNS sa deje predtým, než vôbec začne šifrované pripojenie.

Takže zatiaľ čo môj poskytovateľ internetu nemôže vidieť, ktoré konkrétne video som sledoval alebo ktorý článok som čítal, určite môže vidieť, že som kontaktoval YouTube, konkrétny spravodajský web alebo zdroj pre duševné zdravie. Hostiteľské meno sa tiež často prezradí počas TLS handshake cez pole nazývané SNI, pokiaľ môj prehliadač aj stránka nepodporujú novšiu funkciu nazývanú Encrypted ClientHello. Väčšina ich ešte nepodporuje.

Konečný výsledok je, že samotné HTTPS mi poskytuje súkromie obsahu, ale nie súkromie metadát. Môj ISP nemusí čítať stránku, aby si vytvoril profil mojich rutín a záujmov, pretože domény už odhaľujú dosť informácií.

Šifrovaný, filtrovačný resolver rieši oba problémy

Vymeniť resolver a poskytovateľ internetových služieb zhasne

Riešenie je úplne prestať používať DNS môjho poskytovateľa internetu a smerovať dotazy cez šifrovaný resolver, ktorý tiež filtruje nežiaduce obsah. Keď sú dotazy šifrované pomocou DNS-over-TLS alebo DNS-over-HTTPS, môj poskytovateľ internetu vidí nepriehľadný tok dát k resolveru namiesto čitateľného zoznamu domén. Filtrácia nad týmto blokuje reklamné servery, sledovače a známe škodlivé domény skôr, než sa moje zariadenia vôbec pripoja.

Najjednoduchšia cesta je nastavenie na zariadenie. Na Android som zmenil svoj súkromný DNS na dns.nextdns.io v Nastavenia > Sieť a internet > Súkromný DNS, čo mi umožnilo presne vybrať, čo sa má blokovať, cez ovládací panel. Na Windows som nasmeroval svoj adaptér na Quad9 (9.9.9.9) po porovnaní s DNS môjho poskytovateľa internetu a zistil, že je rýchlejší a bezpečnejší.

Teraz, ak chcete pokrytie celej domácnosti, čistejšou možnosťou je zmeniť DNS na úrovni routera, aby ho každý zariadenie, vrátane smart televízorov a zariadení IoT, zdedilo automaticky. Na to môžete zvoliť možnosť ako NextDNS, ktorá poskytuje podrobné ovládanie a rodičovské filtrovanie, čo väčšina bezplatných resolverov neponúka, a bezplatná verzia pokryje bežnú domácnosť.

Filtrovanie DNS má skutočné limity

Čo nemôže zablokovať a kde zlyháva

Nechcem to preháňať. Filtrovanie DNS je obrovské vylepšenie, ale stále má svoje obmedzenia.

Najväčšia medzera je v reklamách pochádzajúcich z rovnakého domény. YouTube, Twitch, Netflix, Hulu a TikTok všetky zobrazujú svoje reklamy z tej istej domény ako obsah. Filter nemôže reklamu zablokovať bez toho, aby neporušil celú službu, takže reklamy v prúde sa prepustia rovno. Prehliadačové blokátory reklám sú stále dôležité pre tento druh prevádzky.

Niektoré zariadenia tiež ignorujú akúkoľvek DNS, ktorú nastavíte. Napríklad Chromecast, Android TV boxy a niektoré inteligentné televízory majú pevne zabudovanú DNS Google alebo Cloudflare a potichu obchádzajú nastavenia môjho routera. Jediným spoľahlivým riešením je blokovanie týchto pevne zabudovaných IP adries na firewalle, čo väčšina domácich routerov neumožňuje jednoducho.

Nakoniec, šifrovaný DNS nie je VPN. Aj keď sú vyhľadávania skryté, môj poskytovateľ internetu stále môže vidieť cieľové IP adresy, ku ktorým sa moje zariadenia pripájajú, a vo väčšine prípadov aj hostname SNI v rukovaní. Pre úplné súkromie metadát by som potreboval VPN alebo Tor navyše. Filtrovanie DNS len uzatvára najväčší a najjednoduchší únik.

Váš poskytovateľ internetových služieb nepotrebuje vedieť, aké stránky prehliadate

Moje súčasné nastavenie je NextDNS na smerovači pre celý dom, plus Quad9 na zariadeniach, ktoré so sebou nosím. Táto kombinácia poskytuje filtrovanie na každom zariadení doma, súkromný záložný variant, keď som na mobilných dátach, a prakticky nulovú priebežnú údržbu. Je to najbližšie k nastaviť-a-zabudnúť vylepšeniu súkromia, aké som našiel.