Cum să activezi DNS prin HTTPS (DoH) în Windows 11 și să îmbunătățești confidențialitatea

Informatec Digital » Recursos » Cum să activezi DNS prin HTTPS (DoH) în Windows 11 și să îmbunătățești confidențialitatea

Dacă ești din ce în ce mai preocupat de ceea ce pot vedea alții despre activitatea ta online , Windows 11 are o setare puternică pe care aproape nimeni nu o folosește, dar care poate face o mare diferență în ceea ce privește confidențialitatea ta: criptarea DNS folosind DNS prin HTTPS (DoH). Cu câteva modificări de configurație, solicitările tale DNS nu vor mai fi transmise în text simplu, ci vor fi protejate într-o conexiune securizată.

Activarea DoH în Windows 11 nu necesită instalarea unor programe neobișnuite sau a fi expert în rețele; este ceva ce puteți configura în doar câteva minute prin intermediul setărilor de sistem. În schimb, veți îngreuna mult munca furnizorului dvs. de servicii de internet, a administratorilor de rețea publică sau chiar a potențialilor atacatori în a spiona site-urile web pe care le vizitați, a înregistra obiceiurile dvs. de navigare sau a manipula conexiunile . Să aruncăm o privire mai atentă la ce este DoH, de ce merită, cum să îl activați pas cu pas și ce opțiuni avansate sunt disponibile în ecosistemul Windows.

Ce este DNS și de ce îți afectează atât de mult confidențialitatea?

Când tastezi o adresă precum adslzone.com sau orice alt site web în browser , computerul nu se conectează direct folosind acel text. Ceea ce înțelege de fapt rețeaua sunt adrese IP numerice, așa că, înainte de a încărca site-ul web, trebuie să interogheze un server DNS pentru a afla unde este găzduit domeniul respectiv.

DNS funcționează ca un fel de carte de telefon de internet : introduci un nume, iar acesta returnează numărul corespunzător (adresa IP). Problema este că, în configurația implicită, această interogare este transmisă necriptată, în text simplu. Aceasta înseamnă că orice dispozitiv aflat între PC și internet - furnizorul de servicii de internet, un hotspot Wi-Fi public, un router compromis, un atacator din aceeași rețea - poate vedea adresele pe care le rezolvi.

În plus, mulți furnizori profită de această situație pentru a genera un istoric foarte detaliat al tuturor site-urilor web pe care le vizitați . Acestea sunt informații extrem de sensibile, deoarece le permit să vă creeze un profil ca utilizator: ce servicii utilizați, care sunt interesele dvs., care este programul dvs. etc. Aceste date pot fi folosite pentru publicitate, vândute către terți sau, în cel mai rău caz, pot ajunge în mâinile unor actori rău intenționați.

De asemenea, este important de menționat că, fără criptare, anumite entități pot bloca site-uri web la nivel DNS , pot redirecționa domenii către site-uri de publicitate sau chiar pot manipula răspunsurile pentru a lansa atacuri. Toate acestea se realizează profitând de faptul că traficul DNS tradițional circulă în text simplu și fără integritate garantată.

Ce este DNS prin HTTPS (DoH) și ce avantaje are?

DNS prin HTTPS, sau DoH, este un sistem care preia cererile DNS tradiționale și le încapsulează într-o conexiune HTTPS criptată . Este același tip de criptare utilizat atunci când vizitați un site web securizat cu o pictogramă cu lacăt în browser, dar aplicat canalului pe care computerul îl folosește pentru a rezolva numele de domeniu.

Cu DoH activat, interogările DNS nu mai sunt ușor vizibile pentru oricine se află în cale. Tot ce vor vedea este trafic HTTPS criptat către serverul furnizorului DNS . Nu vor putea citi ce domenii sunt interogate și nici modifica răspunsul fără a compromite securitatea conexiunii.

Printre principalele avantaje ale activării DNS prin HTTPS în Windows 11, se remarcă câteva: în primul rând, furnizorul dvs. de servicii de internet nu mai poate vizualiza sau înregistra cu ușurință întregul istoric al domeniului dvs.; în al doilea rând, complică foarte mult interceptarea sau manipularea solicitărilor de către terți . În plus, în unele cazuri, vă poate ajuta să ocoliți anumite blocuri de bază la nivel DNS implementate de unii furnizori.

Este demn de remarcat faptul că criptarea introduce un mic pas suplimentar la fiecare solicitare, dar, în practică, pierderea de performanță este de obicei minimă sau imperceptibilă pentru majoritatea utilizatorilor. În schimb, îmbunătățirea confidențialității și securității este considerabilă, așa că beneficiul general este, în general, în favoarea activării acesteia.

Cum se activează DNS prin HTTPS (DoH) în Windows 11 pas cu pas

Windows 11 include suport nativ pentru DNS prin HTTPS, deci nu aveți nevoie de programe externe. Procesul se reduce la două părți: configurarea manuală a serverelor DNS compatibile cu DoH și apoi alegerea tipului de criptare pe care doriți să îl utilizați pentru acele servere.

1. Accesați setările de rețea din Windows 11

Primul pas este să deschizi aplicația Setări sistem. Cea mai rapidă metodă este să apeși simultan tasta Windows + I. Poți face acest lucru și din meniul Start, dar comanda rapidă este mai convenabilă dacă intenționezi să o repeți de mai multe ori.

În Setări, accesați secțiunea „Rețea și internet” . Acolo veți vedea opțiuni atât pentru conexiunile Wi-Fi, cât și pentru cele Ethernet (cu fir). Alegeți-o pe cea pe care o utilizați în prezent: dacă navigați prin Wi-Fi, atingeți „Wi-Fi”; dacă utilizați o conexiune cu fir, atingeți „Ethernet”.

Odată ajuns în secțiunea relevantă, localizați conexiunea activă și faceți clic pe „Proprietăți hardware” sau pe intrarea care afișează detaliile rețelei. De acolo, puteți modifica setările IP și DNS pentru interfața respectivă.

2. Schimbați atribuirea DNS la manuală

În proprietățile conexiunii, veți vedea o secțiune numită „DNS Server Assignment” (Atribuire server DNS) . De obicei, este setată pe „Automat (DHCP)”, ceea ce înseamnă că routerul sau furnizorul de servicii de internet decide ce server DNS utilizați și cum sunt gestionate aceste solicitări.

Faceți clic pe butonul „Editare” din secțiunea respectivă. Se va deschide o fereastră pop-up unde trebuie să selectați opțiunea „Manual” din meniul derulant de setări. Această modificare vă permite să specificați serverele DNS pe care doriți să le utilizați în loc să le acceptați pe cele atribuite de rețea.

În configurația manuală, activați comutatorul IPv4 și, dacă rețeaua dvs. îl acceptă, activați și comutatorul IPv6 . Majoritatea conexiunilor de acasă funcționează perfect cu IPv4, dar IPv6 devine din ce în ce mai comun, așa că este recomandabil să îl activați dacă este disponibil, astfel încât interogările să poată fi făcute și folosind acel protocol.

3. Alegeți servere DNS compatibile cu DoH

După ce modul manual este activat, veți vedea câmpuri pentru a introduce adresele IP ale serverelor DNS. Aici trebuie să introduceți detaliile unui furnizor care acceptă oficial DNS prin HTTPS , deoarece Windows 11 include o listă internă Windows cu serverele DoH cunoscute.

Unele dintre cele mai utilizate, deja incluse în lista internă a Windows pentru configurarea automată a criptării, sunt următoarele:

• Cloudflare1.1.1.1 ca DNS preferat și 1.0.0.1 ca DNS alternativ. De asemenea, au adrese IPv6 2606:4700:4700::1111 și 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 ca server preferat și 8.8.4.4 ca alternativ. În IPv6 se utilizează 2001:4860:4860::8888 și 2001:4860:4860::8844.
• Quad99.9.9.9 este adresa preferată, iar 149.112.112.112 este alternativa. În IPv6, există, printre altele, 2620:fe::fe și 2620:fe::fe:9.

Introduceți, de exemplu, adresele Google sau Cloudflare în câmpurile DNS preferat și DNS alternativ pentru IPv4. Dacă aveți și IPv6 activat, completați câmpurile corespunzătoare cu adresele IPv6 ale furnizorului ales. De acolo, Windows 11 va ști că aceste servere acceptă DoH și vă va putea oferi diverse opțiuni de criptare.

4. Configurați criptarea DNS (DoH) în Windows 11

Chiar sub adresele DNS pentru fiecare protocol, veți găsi una sau mai multe opțiuni legate de criptare, în funcție de versiunea de Windows 11 și de tipul de server pe care l-ați configurat. Aici puteți activa DNS prin HTTPS și configura modul în care computerul dvs. va gestiona aceste interogări.

În multe configurații, Windows afișează un meniu „ Criptare DNS ” sau „DNS prin HTTPS” pentru serverele DNS preferate și alternative. Aici puteți găsi, printre alte opțiuni, următoarele:

• Numai criptare (DNS prin HTTPS)Clientul va încerca întotdeauna să utilizeze DoH cu serverul respectiv. Dacă serverul sau conexiunea securizată eșuează, interogarea în text simplu nu va fi executată.
• Criptare preferată, criptare nepermisă (sau text similar): Se încearcă mai întâi DoH și, dacă acest lucru nu este posibil, se reactivează interogările clasice fără criptare.
• Numai necriptatdezactivează DoH pentru serverul respectiv, folosind doar DNS-ul tradițional în text simplu.

Dacă prioritatea ta este confidențialitatea și vrei să dai tot ce ai nevoie, selectează „Numai criptat (DNS prin HTTPS)” atât pentru serverul preferat, cât și pentru cel alternativ . În acest fel, tot traficul DNS către aceste servere va circula întotdeauna prin HTTPS și niciodată în text simplu.

În unele texte de interfață, este posibil să vedeți și opțiunea „Activat (șablon automat) ”. Aceasta indică faptul că Windows 11 recunoaște serverul ca parte a listei sale de rezolveri DoH cunoscuți și utilizează automat șablonul HTTPS corespunzător pentru a trimite solicitări criptate, fără a fi nevoie să îl specificați manual.

5. Folosește șabloane manuale DoH cu furnizori specifici

Pentru unele servere sau dacă doriți un control și mai precis, este posibil să puteți utiliza un șablon DNS manual prin HTTPS . Acest lucru vă permite să specificați direct adresa URL pe care furnizorul dvs. o folosește pentru serviciul său DoH.

Acesta este cazul, de exemplu, cu anumite configurații avansate Quad9, unde puteți specifica un anumit șablon care include opțiuni precum ECS (EDNS Client Subnet), astfel încât rezoluțiile să fie gestionate de la centrul de date cel mai apropiat de locația dvs. În câmpul respectiv pentru șablon, introduceți ceva similar adresei URL pe care furnizorul o documentează pentru endpoint-ul său DoH.

Dacă alegeți opțiunea de șablon manual, asigurați-vă că copiați adresa exact așa cum este furnizată de serviciul DNS în documentația sa oficială. O greșeală de scriere ar putea cauza eșecul criptării sau ar putea împiedica rezolvarea completă a domeniilor.

Cum să verifici dacă DNS-ul prin HTTPS funcționează

După ce ați salvat modificările aduse setărilor de conexiune, cererile DNS ar trebui să fie în mod normal criptate. Chiar și așa, merită să faceți câteva verificări pentru a vă asigura că totul a fost aplicat corect și că nu navigați în continuare în text simplu fără să vă dați seama.

Verificare din setările Windows

Reveniți la Setări > Rețea și internet > Wi-Fi sau Ethernet (în funcție de rețeaua pe care o utilizați) și accesați din nou proprietățile hardware ale conexiunii. Derulați în jos până la secțiunea în care sunt afișate adresele serverului DNS pe care tocmai le-ați configurat.

Dacă totul este în ordine, lângă fiecare adresă IP a serverului DNS ar trebui să vedeți o etichetă precum „(Criptat)” sau un text similar . Această etichetă este cea mai rapidă modalitate de a confirma că Windows a recunoscut serverul ca fiind compatibil cu DoH și criptează interogările.

Verificați DoH cu PowerShell

O altă metodă foarte fiabilă de a verifica starea DNS prin HTTPS este utilizarea PowerShell , consola avansată Windows. Pentru a face acest lucru, deschideți meniul Start, căutați „PowerShell ”, faceți clic dreapta și selectați „Executare ca administrator” pentru a obține permisiunile necesare.

În fereastra care se deschide, tastați următoarea comandă și apăsați Enter :

Get-DnsClientDohServerAddress

Rezultatul acestei comenzi va afișa o listă de servere DoH pe care clientul DNS Windows le cunoaște , inclusiv pe cele pe care le-ați configurat. Veți vedea adresele lor IP și un indicator de stare. Dacă apare „Activat” pentru serverele DNS configurate, înseamnă că computerul dvs. utilizează DoH cu acestea.

Folosește teste online pentru a confirma criptarea

Ca o verificare suplimentară, puteți utiliza pagini de testare oferite de unii furnizori DNS. De exemplu, Cloudflare are instrumente online care vă permit să vedeți dacă browserul dvs. utilizează DNS prin HTTPS sau DNS prin TLS . Pur și simplu accesați una dintre aceste pagini din browserul dvs. obișnuit și urmați instrucțiunile.

Deși aceste teste se concentrează pe browser, ele reprezintă o bună referință pentru a completa ceea ce ați văzut în setările Windows și în PowerShell, confirmând că interogările pleacă criptate din sistemul dvs.

DNS prin HTTPS în Windows Server 2022 și Politica de grup

Pe lângă Windows 11, Microsoft a încorporat suport pentru DNS prin HTTPS în Windows Server începând cu versiunea 2022. Pe aceste sisteme, clientul DNS poate stabili conexiuni criptate folosind HTTPS către servere care se află pe lista sa de rezolveri DoH cunoscuți, similar cu modul în care funcționează în mediul desktop.

În Windows Server cu experiență desktop, configurația de bază se face din același panou Setări > Rețea și internet > Ethernet . Selectați interfața de rețea pe care doriți să o configurați, accesați ecranul de rețea al acesteia, derulați în jos până la „Setări DNS” și faceți clic pe „Editare” pentru a schimba modul de la automat la manual, la fel ca în Windows 11.

De acolo, introduceți serverele DNS care se află pe lista de servere DoH cunoscute . Dacă sunt, va fi activată lista derulantă „Criptare DNS preferată”, din care puteți alege între mai multe comportamente:

• Numai criptare (DNS prin HTTPS)Toate interogările DNS sunt încercate folosind DoH. Dacă serverul nu acceptă DoH sau conexiunea HTTPS eșuează, și rezoluția va eșua.
• Cifrurile preferate și necriptate sunt acceptateDoH este prioritizat, dar dacă din anumite motive nu este posibil, se revine la interogări DNS în text necriptat.
• Numai necriptatDoH este dezactivat pentru serverul respectiv și se folosește doar DNS-ul tradițional.

Când configurați adresele DNS ale serverului Windows utilizând PowerShell și cmdletul Set-DnsClientServerAddressComportamentul DoH depinde de dacă acele adrese Apar sau nu apar în tabelul intern al serverelor DoH cunoscuteÎn acest moment, configurația specifică a DoH nu poate fi încă ajustată cu Centrul de administrare Windows nici cu unelte precum sconfig.cmd pe serverul 2022.

Configurați DoH folosind politica de grup

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Prin activarea acestei politici , puteți alege între trei comportamente principale pentru clientul DNS:

• Permiteți DoHInterogările vor fi efectuate utilizând DNS prin HTTPS atunci când serverele DNS configurate acceptă acest lucru. Dacă nu îl acceptă, se vor utiliza interogări necriptate.
• Interzicerea Departamentului de Sănătate: previne utilizarea DNS prin HTTPS, forțând întotdeauna DNS-ul tradițional în text simplu.
• Necesită Departamentul de Sănătate: forțează ca toate interogările să fie făcute cu DoH; dacă serverele nu îl acceptă, rezoluția numelui eșuează.

Este important să fiți precauți cu opțiunea „Solicită DoH” pe computerele asociate la domeniu, deoarece serviciile Active Directory se bazează în mare măsură pe DNS-ul tradițional, iar rolul de server DNS Windows nu acceptă nativ interogările DoH. În aceste tipuri de rețele, dacă doriți să protejați traficul DNS intern, este de obicei mai bine să utilizați soluții precum regulile de securitate a conexiunilor bazate pe IPsec pentru a cripta traficul dintre clienți și servere.

Lista serverelor DoH cunoscute pe Windows

Atât Windows 11, cât și Windows Server includ o listă încorporată de servere DNS despre care se știe că acceptă DoH . Această listă permite sistemului să activeze automat opțiunile de criptare și șabloanele automate pentru serverele respective.

Pentru a vedea ce servere sunt pe acea listă, puteți utiliza cmdlet-ul Get-DnsClientDohServerAddress în PowerShell. Printre cei mai comuni furnizori care apar se numără Cloudflare, Google și Quad9, cu cele mai cunoscute adrese IPv4 și IPv6 ale lor, cum ar fi deja menționatele 1.1.1.1, 8.8.8.8 sau 9.9.9.9, împreună cu alternativele lor.

Dacă doriți să adăugați un server nou la acea tabelă de servere cunoscute, de exemplu propriul dvs. resolver sau unul de la o terță parte specializată, puteți utiliza comanda Add-DnsClientDohServerAddress specificarea adresei IP a serverului, a șablonului DoH și dacă permiteți sau nu revenirea la UDP în caz de eșec:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

În acest fel, Windows va ști că serverul acceptă DoH, va încerca întotdeauna să îl utilizeze în siguranță și, în funcție de opțiunea aleasă, va evita pe cât posibil revenirea la interogări necriptate.

Utilizarea NRPT (Tabelul de politici de rezoluție a numelor) cu DoH

În scenarii avansate, cum ar fi rețele corporative complexe sau configurații hibride, puteți utiliza tabelul de politici de rezoluție a numelor (NRPT) pentru a redirecționa interogările pentru anumite domenii către servere DNS desemnate. Dacă aceste servere acceptă DNS bazat pe domeniu (DoH) și sunt înregistrate ca atare, interogările pentru acele spații de nume vor fi efectuate utilizând DNS prin HTTPS.

Acest lucru permite, de exemplu, ca anumite domenii critice sau deosebit de sensibile să fie întotdeauna rezolvate printr-un resolver de încredere cu DoH activat, în timp ce restul traficului DNS poate urma o politică diferită sau poate utiliza servere diferite.

Activarea și utilizarea DNS prin HTTPS în Windows 11 - și, acolo unde este cazul, în Windows Server 2022 - este o modalitate destul de simplă de a crește confidențialitatea și securitatea navigării zilnice fără a schimba drastic modul în care utilizați computerul. Cu câțiva pași de configurare și câteva verificări suplimentare, interogările DNS nu vor mai fi acel punct vulnerabil pe care oricine l-ar putea vedea în text simplu, ci vor călători protejate într-o conexiune criptată, mult mai în conformitate cu ceea ce se așteaptă de la o conexiune sigură astăzi.