Ako povoliť DNS cez HTTPS (DoH) v systéme Windows 11 a zlepšiť si súkromie

Informatec Digital » Zdroje » Ako povoliť DNS cez HTTPS (DoH) v systéme Windows 11 a zlepšiť si súkromie

Ak vás čoraz viac znepokojuje, čo ostatní vidia o vašej online aktivite , systém Windows 11 ponúka výkonné nastavenie, ktoré takmer nikto nepoužíva, ale môže výrazne ovplyvniť vaše súkromie: šifrovanie DNS pomocou protokolu DNS cez HTTPS (DoH). S niekoľkými zmenami konfigurácie sa vaše požiadavky DNS už nebudú odosielať ako obyčajný text, ale budú chránené v rámci zabezpečeného pripojenia.

Povolenie DoH v systéme Windows 11 nevyžaduje inštaláciu žiadnych nezvyčajných programov ani to, aby ste boli sieťovým expertom; je to niečo, čo môžete nakonfigurovať v priebehu niekoľkých minút prostredníctvom systémových nastavení. Na oplátku tým výrazne sťažíte svojmu poskytovateľovi internetových služieb, správcom verejných sietí alebo dokonca potenciálnym útočníkom špehovanie webových stránok, ktoré navštevujete, zaznamenávanie vašich prehliadacích návykov alebo manipuláciu s vašimi pripojeniami . Pozrime sa bližšie na to, čo je DoH, prečo sa oplatí, ako ho krok za krokom aktivovať a aké pokročilé možnosti sú k dispozícii v ekosystéme Windows.

Čo je DNS a prečo tak veľmi ovplyvňuje vaše súkromie?

Keď do prehliadača zadáte adresu ako adslzone.com alebo akúkoľvek inú webovú stránku , váš počítač sa nepripojí priamo pomocou tohto textu. Sieť v skutočnosti rozumie číselným IP adresám, takže pred načítaním webovej stránky musí odoslať dotaz serveru DNS, aby zistila, kde sa daná doména nachádza.

DNS funguje ako internetový telefónny zoznam : zadáte meno a vráti zodpovedajúce číslo (IP adresu). Problém je v tom, že v predvolenej konfigurácii sa tento dopyt odosiela nešifrovaný, ako obyčajný text. To znamená, že akékoľvek zariadenie medzi vaším počítačom a internetom – váš poskytovateľ internetových služieb, verejný Wi-Fi hotspot, napadnutý smerovač, útočník v tej istej sieti – môže vidieť adresy, ktoré rozpoznávate.

Okrem toho mnohí poskytovatelia využívajú túto situáciu na generovanie veľmi podrobnej histórie všetkých webových stránok, ktoré navštívite . Ide o mimoriadne citlivé informácie, pretože im umožňujú profilovať vás ako používateľa: aké služby používate, aké sú vaše záujmy, aký máte rozvrh atď. Tieto údaje môžu byť použité na reklamu, predané tretím stranám alebo v najhoršom prípade skončiť v rukách zlomyseľných aktérov.

Je tiež dôležité poznamenať, že bez šifrovania môžu určité entity blokovať webové stránky na úrovni DNS , presmerovávať domény na reklamné stránky alebo dokonca manipulovať s odpoveďami na spustenie útokov. Toto všetko sa dosahuje využitím skutočnosti, že tradičná prevádzka DNS sa prenáša v podobe obyčajného textu a bez zaručenej integrity.

Čo je DNS cez HTTPS (DoH) a aké má výhody?

DNS cez HTTPS alebo DoH je systém, ktorý prijíma tradičné požiadavky DNS a zapuzdruje ich do šifrovaného pripojenia HTTPS . Je to rovnaký typ šifrovania, aký sa používa pri návšteve zabezpečenej webovej stránky s ikonou zámku v prehliadači, ale aplikovaný na kanál, ktorý váš počítač používa na rozpoznávanie názvov domén.

Po povolení DoH už DNS dotazy nie sú pre nikoho ľahko viditeľné. Uvidia len šifrovanú HTTPS prevádzku smerujúcu na server poskytovateľa DNS . Nebudú môcť prečítať, ktoré domény sú dotazované, ani upraviť odpoveď bez ohrozenia bezpečnosti pripojenia.

Medzi hlavnými výhodami povolenia DNS cez HTTPS v systéme Windows 11 vyniká niekoľko: po prvé, váš poskytovateľ internetových služieb už nemôže jednoducho zobraziť ani zaznamenať celú históriu vašej domény; po druhé, výrazne to komplikuje zachytávanie alebo manipuláciu s požiadavkami tretími stranami . Okrem toho vám to v niektorých prípadoch môže pomôcť obísť určité základné bloky na úrovni DNS implementované niektorými poskytovateľmi.

Stojí za zmienku, že šifrovanie predstavuje malý krok navyše pre každú požiadavku, ale v praxi je strata výkonu zvyčajne minimálna alebo pre väčšinu používateľov nepostrehnuteľná. Na oplátku je zlepšenie súkromia a bezpečnosti značné, takže celkový prínos je vo všeobecnosti v prospech jeho povolenia.

Ako krok za krokom povoliť DNS cez HTTPS (DoH) v systéme Windows 11

Systém Windows 11 obsahuje natívnu podporu pre DNS cez HTTPS, takže nepotrebujete externé programy. Proces sa scvrkáva na dve časti: manuálna konfigurácia serverov DNS kompatibilných s DoH a následný výber typu šifrovania, ktoré chcete pre tieto servery použiť.

1. Prístup k sieťovým nastaveniam systému Windows 11

Prvým krokom je otvorenie aplikácie Nastavenia systému. Najrýchlejší spôsob je súčasné stlačenie klávesu Windows + I. Môžete to urobiť aj z ponuky Štart, ale táto skratka je pohodlnejšia, ak ju plánujete opakovať viackrát.

V Nastaveniach prejdite do sekcie „Sieť a internet“ . Zobrazia sa tam možnosti pre pripojenie Wi-Fi aj Ethernet (káblové). Vyberte si to, ktoré práve používate: ak prehliadate cez Wi-Fi, klepnite na „Wi-Fi“; ak používate káblové pripojenie, klepnite na „Ethernet“.

V príslušnej sekcii vyhľadajte aktívne pripojenie a kliknite na „Vlastnosti hardvéru“ alebo na položku, ktorá zobrazuje podrobnosti o sieti. Odtiaľ môžete upraviť nastavenia IP a DNS pre dané rozhranie.

2. Zmeňte priradenie DNS na manuálne

Vo vlastnostiach pripojenia uvidíte sekciu s názvom „Priradenie DNS servera“ . Zvyčajne je nastavená na možnosť „Automaticky (DHCP)“, čo znamená, že váš smerovač alebo poskytovateľ internetových služieb rozhoduje o tom, ktorý DNS server použijete a ako sa tieto požiadavky spracujú.

V danej sekcii kliknite na tlačidlo „Upraviť“ . Otvorí sa kontextové okno, v ktorom by ste mali z rozbaľovacej ponuky nastavení vybrať možnosť „Manuálne“ . Táto zmena vám umožňuje určiť, ktoré servery DNS chcete použiť, namiesto toho, aby ste akceptovali tie, ktoré priradila sieť.

V manuálnej konfigurácii povoľte prepínač IPv4 a ak ho vaša sieť podporuje, povoľte aj prepínač IPv6 . Väčšina domácich pripojení funguje s IPv4 perfektne, ale IPv6 sa stáva čoraz bežnejším, preto je vhodné ho povoliť, ak je k dispozícii, aby bolo možné dotazy zadávať aj pomocou tohto protokolu.

3. Vyberte DNS servery, ktoré sú kompatibilné s DoH

Po povolení manuálneho režimu sa zobrazia polia na zadanie IP adries serverov DNS. Tu je potrebné zadať údaje o poskytovateľovi, ktorý oficiálne podporuje DNS cez HTTPS , pretože systém Windows 11 obsahuje interný zoznam známych serverov DoH vo Windowse.

Medzi najčastejšie používané, ktoré sú už zahrnuté v internom zozname systému Windows pre automatickú konfiguráciu šifrovania, patria:

• CloudFlare1.1.1.1 ako preferovaný DNS a 1.0.0.1 ako alternatívny DNS. Majú tiež adresy IPv6 2606:4700:4700::1111 a 2606:4700:4700::1001.
• Verejné DNS mapu8.8.8.8 ako preferovaný server a 8.8.4.4 ako alternatívny. V IPv6 sa používajú adresy 2001:4860:4860::8888 a 2001:4860:4860::8844.
• Quad9Preferovaná adresa je 9.9.9.9 a alternatívna je 149.112.112.112. V IPv6 majú okrem iného 2620:fe::fe a 2620:fe::fe:9.

Do polí Preferovaný DNS a Alternatívny DNS pre IPv4 zadajte napríklad adresy Google alebo Cloudflare . Ak máte povolený aj IPv6, vyplňte príslušné polia adresami IPv6 vami zvoleného poskytovateľa. Systém Windows 11 potom bude vedieť, že tieto servery podporujú DoH a bude vám môcť ponúknuť rôzne možnosti šifrovania.

4. Nakonfigurujte šifrovanie DNS (DoH) v systéme Windows 11

Hneď pod adresami DNS pre každý protokol nájdete jednu alebo viacero možností súvisiacich so šifrovaním v závislosti od verzie systému Windows 11 a typu nakonfigurovaného servera. Tu môžete povoliť DNS cez HTTPS a nakonfigurovať, ako bude váš počítač spracovávať tieto dopyty.

V mnohých konfiguráciách systém Windows zobrazuje ponuku „ Šifrovanie DNS “ alebo „DNS cez HTTPS“ pre preferované a alternatívne servery DNS. Okrem iných možností tu môžete nájsť aj nasledujúce:

• Iba šifrovanie (DNS cez HTTPS)Klient sa vždy pokúsi použiť DoH s daným serverom. Ak server alebo zabezpečené pripojenie zlyhá, dotaz v otvorenom texte sa nevykoná.
• Preferované šifrovanie, šifrovanie nie je povolené (alebo podobný text): Najprv sa vykoná pokus o DoH a ak to nie je možné, obnovia sa klasické dotazy bez šifrovania.
• Iba nešifrované: zakáže DoH pre daný server a použije iba tradičný DNS protokol s otvoreným textom.

Ak je pre vás súkromie prioritou a chcete preň klásť všetky požiadavky, vyberte možnosť „Iba šifrované (DNS cez HTTPS)“ pre váš preferovaný aj alternatívny server . Týmto spôsobom bude všetka prevádzka DNS na tieto servery vždy prechádzať cez HTTPS a nikdy nie ako obyčajný text.

V niektorých textoch rozhrania sa môže zobraziť aj možnosť „Povolené (automatická šablóna) “. To znamená, že systém Windows 11 rozpozná server ako súčasť zoznamu známych prekladačov DoH a automaticky použije príslušnú šablónu HTTPS na odosielanie šifrovaných požiadaviek bez toho, aby ste ju museli zadávať manuálne.

5. Používajte manuálne šablóny DoH s konkrétnymi dodávateľmi

Pre niektoré servery alebo ak chcete ešte presnejšiu kontrolu, môžete použiť manuálnu šablónu DNS cez HTTPS . To vám umožní priamo zadať URL adresu, ktorú váš poskytovateľ používa pre svoju službu DoH.

Toto je napríklad prípad určitých pokročilých konfigurácií Quad9, kde môžete zadať konkrétnu šablónu, ktorá obsahuje možnosti ako ECS (EDNS Client Subnet), aby sa riešenia spracovávali z dátového centra najbližšie k vášmu miestu . Do tohto poľa šablóny zadáte niečo ako URL adresu, ktorú poskytovateľ dokumentuje pre svoj koncový bod DoH.

Ak vyberiete možnosť manuálnej šablóny, nezabudnite skopírovať adresu presne tak, ako ju poskytla služba DNS v jej oficiálnej dokumentácii. Preklep môže spôsobiť zlyhanie šifrovania alebo úplné znemožnenie prepojenia domén.

Ako skontrolovať, či funguje DNS cez HTTPS

Po uložení zmien v nastaveniach pripojenia by požiadavky DNS mali byť zvyčajne šifrované. Napriek tomu sa oplatí vykonať niekoľko kontrol, aby ste sa uistili, že všetko bolo správne použité a že stále neprehliadate obyčajný text bez toho, aby ste si to uvedomovali.

Overenie v nastaveniach systému Windows

Vráťte sa do časti Nastavenia > Sieť a internet > Wi-Fi alebo Ethernet (v závislosti od toho, ktorú sieť používate) a znova otvorte vlastnosti hardvéru vášho pripojenia. Posuňte sa nadol do časti, kde sa zobrazujú adresy serverov DNS, ktoré ste práve nakonfigurovali.

Ak je všetko v poriadku, vedľa každej IP adresy DNS servera by ste mali vidieť označenie, napríklad „(Šifrované)“ alebo podobný text . Toto označenie je najrýchlejší spôsob, ako potvrdiť, že systém Windows rozpoznal server ako kompatibilný s DoH a šifruje dotazy.

Skontrolujte DoH pomocou PowerShellu

Ďalším veľmi spoľahlivým spôsobom, ako skontrolovať stav DNS cez HTTPS, je použitie PowerShellu , pokročilej konzoly systému Windows. Ak to chcete urobiť, otvorte ponuku Štart, vyhľadajte „PowerShell “, kliknite pravým tlačidlom myši a vyberte možnosť „Spustiť ako správca“, aby ste získali potrebné povolenia.

V okne, ktoré sa otvorí, zadajte nasledujúci príkaz a stlačte kláves Enter :

Get-DnsClientDohServerAddress

Výstupom tohto príkazu sa zobrazí zoznam serverov DoH, ktoré klient DNS systému Windows pozná , vrátane tých, ktoré ste nakonfigurovali. Zobrazia sa ich IP adresy a indikátor stavu. Ak sa pri nakonfigurovaných serveroch DNS zobrazí „Povolené“, znamená to, že váš počítač s nimi používa DoH.

Na overenie šifrovania použite online testy

Ako dodatočnú kontrolu môžete použiť testovacie stránky ponúkané niektorými poskytovateľmi DNS. Napríklad Cloudflare má online nástroje, ktoré vám umožnia zistiť, či váš prehliadač používa DNS cez HTTPS alebo DNS cez TLS . Jednoducho prejdite na jednu z týchto stránok z vášho bežného prehliadača a postupujte podľa pokynov.

Hoci sa tieto testy zameriavajú na prehliadač, sú dobrým doplnením toho, čo ste videli v nastaveniach systému Windows a v prostredí PowerShell, a potvrdzujú, že dotazy odchádzajú zo systému zašifrované.

DNS cez HTTPS v systéme Windows Server 2022 a skupinová politika

Okrem systému Windows 11 spoločnosť Microsoft od verzie 2022 začlenila podporu pre DNS cez HTTPS aj do systému Windows Server. V týchto systémoch môže klient DNS nadviazať šifrované pripojenia pomocou HTTPS k serverom, ktoré sú na jeho zozname známych prekladačov DoH, podobne ako to funguje v prostredí desktopu.

V systéme Windows Server s desktopovým rozhraním sa základná konfigurácia vykonáva z rovnakého panela Nastavenia > Sieť a internet > Ethernet . Vyberiete sieťové rozhranie, ktoré chcete konfigurovať, otvoríte jeho sieťovú obrazovku, prejdite nadol na „Nastavenia DNS“ a kliknutím na „Upraviť“ zmeníte režim z automatického na manuálny, rovnako ako v systéme Windows 11.

Odtiaľ zadáte DNS servery, ktoré sú na zozname známych DoH serverov . Ak sú, aktivuje sa rozbaľovacia ponuka „Preferované šifrovanie DNS“, z ktorej si môžete vybrať z niekoľkých spôsobov správania:

• Iba šifrovanie (DNS cez HTTPS)Všetky DNS dotazy sa vykonávajú pomocou DoH. Ak server nepodporuje DoH alebo ak HTTPS pripojenie zlyhá, aj rozlíšenie zlyhá.
• Podporované sú preferované aj nešifrované šifryDoH má prioritu, ale ak to z nejakého dôvodu nie je možné, vráti sa k nešifrovaným DNS dotazom v otvorenom texte.
• Iba nešifrovanéDoH je pre daný server vypnutý a používa sa iba tradičný DNS.

Pri konfigurácii adries DNS systému Windows Server pomocou prostredia PowerShell a cmdletu Set-DnsClientServerAddressSprávanie DoH závisí od toho, či tieto adresy Zobrazujú sa alebo nie v internej tabuľke známych DoH serverov?V súčasnosti nie je možné túto konkrétnu konfiguráciu DoH upraviť pomocou Centrum spravovania systému Windows ani s nástrojmi ako sconfig.cmd na serveri 2022.

Konfigurácia DoH pomocou skupinovej politiky

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Povolením tejto politiky si môžete vybrať medzi tromi hlavnými správaniami DNS klienta:

• Povoliť DoHDotazy budú vykonávané pomocou DNS cez HTTPS, ak to nakonfigurované DNS servery podporujú. Ak to nepodporujú, použijú sa nešifrované dotazy.
• Zákaz DoH: zabraňuje použitiu DNS cez HTTPS, vždy vynucuje tradičný DNS v otvorenom texte.
• Vyžadovať DoH: vynúti všetky dotazy vykonávať s DoH; ak ho servery neakceptujú, rozlíšenie názvov zlyhá.

Pri používaní možnosti „Vyžadovať DoH“ na počítačoch pripojených k doméne je dôležité postupovať opatrne, pretože služby Active Directory sa vo veľkej miere spoliehajú na tradičný DNS a rola servera DNS systému Windows natívne nepodporuje dotazy DoH. V týchto typoch sietí, ak chcete chrániť internú prevádzku DNS, je zvyčajne lepšie použiť riešenia, ako sú pravidlá zabezpečenia pripojenia založené na protokole IPsec , na šifrovanie prevádzky medzi klientmi a servermi.

Zoznam známych DoH serverov v systéme Windows

Systémy Windows 11 aj Windows Server obsahujú vstavaný zoznam serverov DNS, o ktorých je známe, že podporujú protokol DoH . Tento zoznam umožňuje systému automaticky povoliť možnosti šifrovania a automatické šablóny pre tieto konkrétne servery.

Ak chcete zistiť, ktoré servery sú v tomto zozname, môžete použiť cmdlet Get-DnsClientDohServerAddress v PowerShelle. Medzi najbežnejších poskytovateľov patria Cloudflare, Google a Quad9 s ich najznámejšími adresami IPv4 a IPv6, ako napríklad už spomínané 1.1.1.1, 8.8.8.8 alebo 9.9.9.9 spolu s ich alternatívami.

Ak chcete do tejto známej tabuľky serverov pridať nový server, napríklad váš vlastný resolver alebo server od špecializovanej tretej strany, môžete použiť príkaz Add-DnsClientDohServerAddress zadaním IP adresy servera, šablóny DoH a toho, či povolíte návrat na UDP v prípade zlyhania:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Týmto spôsobom systém Windows zistí, že server podporuje protokol DoH, vždy sa ho bude snažiť používať bezpečne a v závislosti od zvolenej možnosti sa bude čo najviac vyhýbať návratu k nešifrovaným dotazom.

Používanie NRPT (Tabuľka politík pre rozlíšenie mien) s DoH

V pokročilých scenároch, ako sú zložité podnikové siete alebo hybridné konfigurácie, môžete použiť tabuľku politík rozlišovania mien (NRPT) na preposielanie dopytov pre konkrétne domény na určené servery DNS. Ak tieto servery podporujú DNS založené na doméne (DoH) a sú ako také registrované, dopyty pre tieto menné priestory sa budú vykonávať pomocou DNS cez HTTPS.

To umožňuje napríklad, aby určité kritické alebo obzvlášť citlivé domény boli vždy prekladané prostredníctvom dôveryhodného prekladača s povolenou funkciou DoH, zatiaľ čo zvyšok DNS prevádzky môže dodržiavať inú politiku alebo používať iné servery.

Povolenie a využitie DNS cez HTTPS v systéme Windows 11 – a prípadne aj v systéme Windows Server 2022 – je pomerne jednoduchý spôsob, ako zvýšiť súkromie a bezpečnosť vášho každodenného prehliadania bez toho, aby ste drasticky zmenili spôsob, akým používate počítač. S niekoľkými konfiguračnými krokmi a niekoľkými dodatočnými kontrolami už vaše dotazy DNS nebudú tým zraniteľným bodom, ktorý by ktokoľvek mohol vidieť v obyčajnom texte, ale budú namiesto toho cestovať chránené v rámci šifrovaného pripojenia, čo je oveľa viac v súlade s tým, čo sa dnes očakáva od zabezpečeného pripojenia.