Mikä on DNS over HTTPS (DoH)? Näin valitset päälle tai pois

DNS over HTTPS (DoH) salaa DNS-kyselyt ja vastaukset sitä käyttävän sovelluksen ja valitun DNS-palvelimen välillä. Jos haluat suojata nimipalvelukyselyitä verkon kuuntelulta, DoH on käyttökelpoinen vaihtoehto. Tarkista kuitenkin, ettei DNS-palvelun vaihtaminen ohita tarvitsemaasi suodatusta tai riko sisäisten verkkopalvelujen toimintaa. Työ- ja kouluverkossa noudata ylläpitäjän ohjeita. DoH ei tee selaamisesta anonyymiä eikä itsessään estä mainoksia.

Mitä DoH salaa – ja mitä ei?

DNS:n avulla selvitetään esimerkiksi verkkotunnusta example.com vastaava IP-osoite. Salaamaton DNS-kysely voi paljastaa verkkoa tarkkailevalle, mitä nimiä laite hakee. DoH lähettää kyselyn ja vastauksen HTTPS-yhteydellä valitulle DNS-palvelimelle, tavallisesti portissa 443. Se salaa liikenteen ja edellyttää palvelimen todentamista. Näin se suojaa yhteysväliä kuuntelulta ja kyselyliikenteeseen puuttumiselta. Protokollan määrittelee IETF:n RFC 8484.

DNS-palveluntarjoaja näkee silti sille lähetetyt kyselyt. Salaus ei poista tarvetta luottaa palveluntarjoajaan. Tarkista sen tietosuojakäytäntö, kyselylokien säilytys ja mahdollinen suodatus. RFC 9076:n DNS-yksityisyyskuvaus käsittelee palvelinten näkyvyyttä kyselyihin ja palveluntarjoajan valinnan vaikutusta yksityisyyteen.

DoH ei piilota muiden verkkoyhteyksien IP-osoitteita eikä korvaa VPN:ää tai seurannanestoa. Myös salatun DNS-liikenteen ajoituksesta ja koosta voidaan tehdä päätelmiä. Lisäksi yhteysvälin salaus on eri asia kuin DNS-vastausten aitouden tarkistamiseen tarkoitettu DNSSEC: DoH ei yksin takaa, että palvelimen antamat DNS-tiedot ovat oikeita.

Kannattaako DoH ottaa päälle vai pois?

Ratkaisevaa on sekä salaus että se, mille DNS-palvelimelle kyselyt lähetetään. Ulkopuolinen palvelin voi antaa eri vastauksia kuin lähiverkon palvelin. Palvelimen vaihtaminen voi myös ohittaa verkon DNS-pohjaisen suodatuksen. Näitä yhteensopivuuskysymyksiä käsittelee RFC 8484:n kohta 10.

• Oma kone ilman erityisiä verkkopalveluja: harkitse DoH:ta kyselyiden suojaamiseen. Valitse palveluntarjoaja, jonka tietosuojakäytännöt hyväksyt.
• Kodin DNS-pohjainen lapsilukko tai mainossuodatus: varmista ennen vaihtoa, että valittu palvelu toteuttaa tarvitsemasi suodatuksen eikä selain ohita sitä.
• Työkone tai koulun laite: älä vaihda DNS-palvelua omin päin. Sisäisten nimien toiminta voi riippua organisaation DNS-palvelimesta.
• VPN käytössä: tarkista VPN-palvelun ohje ennen kuin valitset selaimelle erillisen DNS-palvelimen. Yhteensopivuus riippuu käytetystä ratkaisusta.
• Sivustot eivät avaudu muutoksen jälkeen: palauta aiempi asetus ja tarkista valittu DNS-palvelu sekä verkon säännöt.

Selaimen DNS-asetus koskee selaimen nimenselvitystä: se ei yksin ota DoH:ta käyttöön laitteen muissa sovelluksissa.

DoH päälle tai pois tietokoneen Chromessa

Asetuksen nimi on Käytä suojattua DNS:ää. Googlen virallinen ohje neuvoo muuttamaan sitä näin:

1. Avaa Chromen oikeasta yläkulmasta Lisää → Asetukset.
2. Valitse Yksityisyys ja turvallisuus → Suojaus.
3. Kytke Lisäasetukset-kohdasta Käytä suojattua DNS:ää päälle tai pois.
4. Tarkista palveluntarjoajan valinta. Voit valita myös oman palveluntarjoajan.

Automaattinen tila ei takaa, että jokainen kysely on salattu. Googlen mukaan suojattu DNS-haku on Chromessa oletuksena päällä automaattitilassa. Jos suojattu haku epäonnistuu, Chrome voi tässä tilassa hakea tiedot salaamattomasti. Kun valitset palvelun itse, Chrome ei käytä salaamatonta tilaa oletuksena.

Googlen ohjeen mukaan Chromen suojattua DNS:ää ei voi käyttää, jos laitetta hallitaan tai siinä on lapsilukko päällä. Chromebookissa valitse Lisäasetukset-kohdasta Ylläpidä suojattua DNS:ää ChromeOS:n asetuksista ja muuta siellä asetusta Sivustojen hakeminen turvallisella yhteydellä.

Mikä ero on DoH:lla ja DoT:llä?

DoT:n kuljetustavan ja oletusportin määrittelee RFC 7858. Erillinen portti helpottaa DoT-liikenteen tunnistamista, mutta ei paljasta salattujen kyselyiden sisältöä. Palvelimen todentaminen ja toiminta yhteyden epäonnistuessa riippuvat DoT-toteutuksen käyttämästä suojausprofiilista.

Pelkästä protokollan nimestä ei voi päätellä, kumpi toimii omassa verkossasi nopeammin tai tarjoaa tarpeisiisi paremman suojan. Myös DoH-palveluun pääsy voidaan estää esimerkiksi palvelimen IP-osoitteen perusteella ilman kaiken HTTPS-liikenteen estämistä. Salattujen DNS-palvelujen estämistä käsittelee RFC 9076:n kohta 6.1.3.

Jos yhteys ei toimi muutoksen jälkeen

1. Kirjaa nykyinen DNS-asetus ja palveluntarjoaja ennen muutoksia.
2. Jos sivusto lakkaa avautumasta, palauta aiempi asetus ja kokeile samaa sivustoa uudelleen.
3. Jos palautus auttaa, tarkista valittu palvelu ja verkon säännöt. Työverkossa ota yhteys ylläpitäjään.

Tämä on vianrajauskeino, ei hyökkäystesti. Asetuksen vaihtamisesta saatu ero ei yksin todista DNS-kaappausta tai muuta hyökkäystä.