Tvůj DNS resolver je strážce tvého internetu — vybírej chytře

Kdykoli napíšeš do prohlížeče adresu webu, na pozadí se během milisekund odehrává neviditelná komunikace. Tvoje zařízení se ptá rekurzivního DNS resolveru na IP adresu schovanou za lidsky čitelným názvem domény. Většina lidí o tomto resolveru nikdy nepřemýšlí — většinou prostě používá ten, který jim přidělil jejich poskytovatel internetu. Jenže tahle volba je důležitější, než by se mohlo zdát.

Tvůj DNS resolver vidí úplně každou doménu, na kterou se ptáš. Dokáže logovat tvou historii procházení, filtrovat přístup k obsahu a pokud není správně zabezpečený, může s tvými dotazy manipulovat nebo je odchytávat. Pro vývojáře, startupy a kohokoli, komu záleží na soukromí, je výběr veřejného DNS resolveru jedno z těch rozhodnutí, která "nastavíš a pak na ně zapomeneš" — ale dlouhodobě se ti vyplatí.

Pojďme se podívat, co říkají data a jak si vybrat správný resolver pro tvůj threat model.

Co je vlastně veřejný DNS resolver?

Veřejný DNS resolver je služba, kterou může používat úplně každý místo výchozího resolveru od poskytovatele internetu. Firmy jako Cloudflare (1.1.1.1), Google (8.8.8.8) nebo Quad9 nabízejí zdarma rekurzivní DNS služby, které slibují rychlejší vyhledávání, lepší soukromí a další bezpečnostní funkce.

Když přejdeš na veřejný resolver, vlastně se rozhoduješ o několika věcech:

• Kdo vidí tvoje dotazy — tvůj ISP ztrácí přehled, ale provozovatel resolveru ho získává
• Jaké filtrování probíhá — některé resolvery blokují domény s malwarem nebo obsah pro dospělé
• Jestli jsou tvoje dotazy šifrované — nešifrované DNS lze sledovat při přenosu
• Pod jakou jurisdikci spadají tvoje data — právní pravidla se liší země od země

Správná volba závisí čistě na tvých prioritách. Pojďme se podívat, co o jednotlivých faktorech říkají výzkumy.

Otázka rychlosti: Brzdí tě šifrované DNS?

Jedna z prvních obav, které developery napadají u šifrovaného DNS, je latence. Šifrované protokoly jako DNS-over-HTTPS (DoH) a DNS-over-TLS (DoT) přidávají ke každému dotazu kryptografickou režii, takže teoreticky by měly být pomalejší než klasické DNS na portu 53.

Výzkumy z recenzovaných DNS studií ale ukazují nuancedější obrázek. Šifrované DNS sice přidává latenci na úrovni jednotlivých dotazů, ale celkový čas načtení stránky se často pohybuje velmi blízko klasickému DNS. Reálná režie je v praxi menší, než jaká vypadá teoreticky, a pro většinu uživatelů je rozdíl prakticky nepostřehnutelný.

Na ztrátových sítích nebo připojeních s vysokou latencí — jako je satelitní internet nebo přetížená mobilní síť — ale klasické DNS stále vyhrává jednoznačně. Pokud optimalizuješ čistě na výkon v takových scénářích, nešifrované DNS zůstává nejrychlejší volbou.

Výkon se taky výrazně liší podle geografické polohy a poskytovatele. Resolver, který je bleskurychlý z datacentra ve Frankfurtu, může být pomalý jako šnek ze serveru v São Paulu. "Nejrychlejší" resolver proto skutečně závisí na tvé lokaci — stojí za to vyzkoušet pár z nich přímo na tvém připojení.

Šifrované DNS: Více než jen ochrana před sledováním

Spousta uživatelů si myslí, že šifrované DNS slouží hlavně k tomu, schovat dotazy před síťovými pozorovateli — ať už jde o slídící na WiFi, sledování od ISP, nebo nebezpečné veřejné hotspoty. To je pravda, ale přínosy sahají dál.

Největší end-to-end studie šifrovaného DNS zjistila, že dotazy přenášené přes DoH a DoT jsou výrazně méně pravděpodobně odchycené nebo pozměněné během přenosu ve srovnání s nešifrovaným DNS. Tato odolnost proti manipulaci je důležitá nejen pro soukromí, ale i pro bezpečnost. U nešifrovaného DNS může útočník typu man-in-the-middle potenciálně otrávit cache falešnými DNS odpověďmi a přesměrovat tě na škodlivé stránky, aniž bys o tom věděl.

Ne všechny šifrované resolvery jsou ale stejné. Tatáž studie zjistila, že přibližně 25 % DoT poskytovatelů servírovalo neplatné TLS certifikáty — vážná konfigurační chyba, která podkopává bezpečnostní přínosy. Když už resolveru věříš svoje DNS, záleží na kvalitě jeho provozu. Drž se dobře spravovaných poskytovatelů s správně nastavenými certifikačními řetězci.

Realita soukromí: Tvůj resolver stejně vidí všechno

Tady je zásadní bod, který se často přehlíží: šifrování skrývá tvoje dotazy před sítí, ale ne před provozovatelem resolveru. Kdokoli provozuje tvůj DNS resolver, pořád vidí každou doménu, na kterou se ptáš. Zcela jasně a bez výjimky.

Pokud tě to znepokojuje, hledej dvě věci:

Zásady no-logging: Některé resolvery se výslovně zavazují, že neukládají logy dotazů. Quad9 například maže všechna data do 24 hodin a nespojuje dotazy s konkrétními uživateli. Cloudflare 1.1.1.1 pro spotřebitele má taky závazek no-logging pro rezidenční použití.

Oblivious DNS over HTTPS (ODoH): Tento novější design přidává mezi tebe a resolver proxy server, takže proxy zná tvou IP adresu, ale neví, na co se ptáš, zatímco resolver ví, na co se ptáš, ale nezná tvou IP adresu. Žádná jedna strana nevidí oboje. Cloudflare i Apple už nasadili ODoH infrastrukturu. Pro soukromí je to smysluplný krok vpřed, pokud je to tvá priorita.

DNSSEC: Validace, která skutečně zastaví padělání

DNSSEC (DNS Security Extensions) přidává k DNS záznamům kryptografické podpisy, které resolverům umožňují ověřit, že odpovědi nebyly pozměněny. Bez DNSSEC validace může dostatečně postavený útočník padělat DNS odpovědi a přesměrovat provoz.

DNSSEC validaci ale kontrolují jen validační resolvery. Většina hlavních veřejných resolverů to dělá — Google Public DNS, Cloudflare i Quad9 — a zvládli kritickou výměnu kořenového klíče (KSK) v roce 2018 bez jakýchkoli problémů pro uživatele. Pokud ti záleží na integritě dat, měla by být DNSSEC validace jedním z tvých požadavků při výběru resolveru.

ECS: Kompromis mezi rychlostí a soukromím, který bys měl znát

EDNS Client Subnet (ECS) je rozšíření protokolu, které posílá část tvé IP adresy autoritativním DNS serverům (a někdy i resolverům), aby CDN mohly vracet geograficky odpovídající adresy pro rychlejší doručení obsahu.

Kompromis: ECS zlepšuje přesnost CDN směrování, ale sdílí víc tvé síťové identity s více stranami. Google Public DNS a OpenDNS posílají ECS data standardně. Cloudflare a běžný Quad9 ne. Ani jedna volba není objektivně lepší — záleží na tom, jestli preferuješ optimalizaci CDN výkonu nebo minimální sdílení informací.

DNS-over-QUIC: Nový rychlostní šampion

DNS-over-QUIC (DoQ) je nejnovější šifrovaný DNS transport a první data vypadají slibně. Studie z roku 2022 zjistila, že DoQ už v mnoha scénářích předčí DoT i DoH v rychlosti odpovědí. QUIC handling spojení a menší režie handshake přispívají k rychlejší výměně.

Je tu ale háček: přibližně 40 % handshake zpomaloval QUIC mechanismus pro ověřování adres, který chrání před amplification útoky, ale přidává latenci při úvodních připojeních. Přesto všude, kde klient i resolver DoQ podporují, jde o preferovanou šifrovanou volbu.

V současnosti DoQ podporují: Quad9, AdGuard, NextDNS, Control D, Mullvad DNS, UncensoredDNS a další. Pokud můžou tvoje aplikace nebo infrastruktura DoQ využít, výkonnostní přínosy jsou reálné.

DNSCrypt: Veterán mezi šifrovacími protokoly

DNSCrypt předchází DoH i DoT — verze 2 vyšla v roce 2013. Šifruje DNS dotazy od úplně prvního paketu pomocí předem sdílených veřejných klíčů od resolveru. To znamená žádné plaintext hostname vyhledávání (na rozdíl od DoH, které se někdy dá detekovat jako HTTPS provoz na známého DoH poskytovatele) a žádnou závislost na systému certifikačních autorit.

DNSCrypt taky v roce 2019 představil Anonymized DNS mód, který směruje dotazy přes relay servery, aby skryl IP adresy klientů od resolveru — podobně jako ODoH, ale implementované jinak. Mezi veřejnými resolvery DNSCrypt podporují Quad9, OpenDNS, AdGuard, NextDNS, Control D a Yandex DNS.

Není tak široce nasazený jako DoH, ale pro určité threat modely nabízí DNSCrypt vlastnosti, které jsou genuinně cenné.

Analýza provozu: Ani šifrované DNS není neviditelné

Tady je znepokojivé zjištění z výzkumu: i přes DoH může analýza provozu identifikovat navštívené domény s vysokou přesností. Standardní EDNS padding pomáhá částečně, ale úplně nezabrání fingerprintingu.

Pokud jsi v situaci, kde je sofistikovaná analýza provozu reálná hrozba — třeba jsi novinář působící v nepřátelském síťovém prostředí — nespoléhej jen na šifrované DNS. Spáruj ho s Torem nebo použij oblivious designy jako ODoH pro smysluplnou ochranu proti tomuto vektoru útoku.

Jurisdikce záleží — víc, než si myslíš

Právní domicil provozovatele resolveru určuje, jaká data mohou být vymáhána, jak dlouho musí být uchovávána, a za jakých okolností může policie přistoupit k historii tvých dotazů. To není abstraktní — je to reálná plocha rizika.

Omezený počet poskytovatelů dnes zpracovává značný podíl celosvětového rekurzivního DNS provozu, což vyvolává legitimní obavy z centralizace. Americká NSA taky výslovně varovala, že používání externích resolverů obchází interní DNS filtrování a inspekční kontroly, na které se organizace spoléhají pro bezpečnostní monitoring.

Pro podniky to není jen otázka soukromí — je to governance problém. Tvůj CISO může mít legitimní důvody vyžadovat interní DNS resolution, i když je to pomalejší nebo méně soukromé.

Výběr resolveru: Praktický rámec

Když to všechno vezmeš v úvahu, jak bys měl vlastně rozhodovat? Tady je praktický rámec:

Pokud je soukromí naprostá priorita: Zvol resolver s no-logging politikou v příznivé jurisdikci, povol ODoH pokud je dostupné, a spáruj s Torem pro citlivé procházení. Quad9 je tady silný kandidát.

Pokud je rychlost vším: Testuj resolvery z tvého skutečného místa a nevylučuj klasické DNS na ztrátových sítích. U šifrovaných možností preferuj DoQ kde to jde.

Pokud potřebuješ filtrování: Spousta resolverů nabízí filtrované tarify, které blokují malware, reklamy nebo obsah pro dospělé. AdGuard, NextDNS, Control D a CleanBrowsing nabízejí granulární filtrovací možnosti.

Pokud jsi enterprise: Zvaž celý governance obrázek — jurisdikci, logovací politiky, integraci s interními bezpečnostními nástroji a varování NSA o obcházení interních kontrol.

Pokud chceš jen "dostatečně dobré": Cloudflare 1.1.1.1, Google Public DNS a Quad9 jsou všechno solidní, dobře spravované volby s širokou podporou protokolů a rozumnými zásadami soukromí. S žádným z nich neuděláš chybu pro běžné použití.

Závěr

Tvůj DNS resolver je základní infrastruktura. Je tam pořád, zpracovává každou doménu, které se dotkneš, a volba toho, kdo ho provozuje, má skutečně důsledky. Dobrá zpráva je, že ekosystém veřejných resolverů výrazně dospěl — šifrovaný transport je dnes spíš pravidlem než výjimkou, DNSSEC validace je běžně dostupná a možnosti respektující soukromí existují pro každý threat model.

Věnuj 30 minut hodnocení možností, nakonfiguruj si zařízení nebo síť, a získáš trvalé přínosy bez jakékoli další údržby. Je to jedno z nejvyšších ROI infrastrukturních rozhodnutí, které můžeš udělat s minimem úsilí.

Tvůj internetový zážitek proudí přes ten resolver. Ujisti se, že je to ten, komu věříš.

NameOcean nabízí Vibe Hosting s AI nástroji, které se hladce integrují s tvou doménou a DNS konfigurací. Nastav si vlastní preference resolveru vedle správy domén v jednom sjednoceném dashboardu.