DNS4EU: Adatgyűjtés úgy, hogy semmi sem történik

Amikor az Európai Unió bejelentette a DNS4EU projektet, sokan fellélegeztek. Végre egy európai tulajdonú DNS szolgáltatás, amely tiszteletben tartja a privacy szabályokat és az EU-ban tartja a felhasználói lekérdezéseket! Alternatíva a Google és a Cloudflare mellé.

Aztán a kutatók megtalálták az érdekes részt.

A probléma

A DNS4EU szorgalmasan gyűjti a kalózkodás elleni tiltólistákat több EU-s tagállamból. Ezek azok a listák, amelyeket a bíróságok rendeltek el az ISP-k számára, hogy blokkolják a szerzői jogokat sértő weboldalakat. A szolgáltatás szépen megőrzi ezeket a listákat.

De van egy aprócska részlet: a DNS4EU nem használja őket semmire.

Hmm.

Miért érdekel ez téged?

Az engedély nélküli listázás

Amikor használod a DNS4EU-t, a szolgáltatás tudja, hogy olyan domaineket kérdeztél le, amelyek szerepelnek ezeken a tiltólistákon. Még ha semmi nem is történik a lekérdezéseddel, valahol ott van egy feljegyzés: a te IP címed megpróbált elérni egy potenciálisan kalóz weboldalt.

Ez felvet egy alapvető kérdést: miért gyűjtesz információt, amire nem fogsz semmit csinálni?

Ha vállalkozásként vagy fejlesztőként építesz appokat, ez egy aggasztó precedens. A kormányzati háttérrel rendelkező szolgáltatások, amelyek viselkedési adatokat gyűjtenek "csak úgy, biztonság kedvéért" – ez totálisan ellentmond annak a privacy-first hozzáállásnak, ami miatt a DNS4EU egyáltalán vonzó lehetett.

Az infrastruktúra-tbizalom problémája

Fejlesztőként folyamatosan döntéseket hozol az infrastruktúra-függőségekről. A DNS provider-t megbízhatóság, sebesség és privacy policy alapján választod. A DNS4EU pontosan ezekre a value proposition-okra építette a pozicionálását.

Az, hogy kiderül: ez az EU-támogatta resolver fenntart listákat a "nemkívánatos" weboldalakról – még ha nem is blokkolja őket – fundamentálisan megváltoztatja a trust kalkulációt. Mi van még azon a listán? Szórakoztató oldalak? Híroldalak? Politikai tartalom?

A technikai valóság

Technikai szempontból egy DNS resolvernek három lehetősége van tiltott domain esetén:

1. Visszaadja a valódi IP-t (hozzáférés engedélyezése)
2. NXDOMAIN-t ad vissza (a domain nem létezik)
3. Sinkhole IP-t ad vissza (átirányítás figyelmeztető oldalra)

A DNS4EU az első opciót választotta. A lekérdezéseid nincsenek blokkolva, de a metaadat továbbra is gyűlik.

Mit használj helyette?

Ez nem jelenti azt, hogy fel kell adnod a privacy-központú DNS-t. Több szilárd opció maradt:

• Cloudflare (1.1.1.1) — Ipari standard, erős privacy policy
• Quad9 — Non-profit, malware blokkolással és nincs logging
• NextDNS — Testreszabható szűrés, transzparens logging policy

A lényeg: olvass el alaposan minden privacy policy-t. Értsd meg, milyen adatokat gyűjt a DNS providerod – még ha soha nem is használja fel azokat.

A nagyobb kép

A DNS4EU tiltólistás gyűjtögetése egy aggasztó mintázatot mutat a "szuverén" internet infrastruktúrában: azt a feltételezést, hogy több adat = több kontroll, függetlenül attól, hogy az az adat bármire is szolgál.

Ha European marketre építesz, emlékeztetőül szolgál: a privacy nem csak arról szól, hol tárolják az adatokat – hanem arról is, milyen adatokat gyűjtenek egyáltalán.

Az EU a DNS4EU-t privacy-megőrző alternatívaként pozicionálta az amerikai DNS szolgáltatásokkal szemben. De a tiltólisták felhalmozása használat nélkül másról árulkodik: megfigyelési képesség elszámoltathatóság nélkül.

Ha European piacra építesz és DNS infrastruktúrát fontolgatsz, hozz megalapozott döntéseket. Értsd meg, mit gyűjtenek a provider-eid. Kérdőjelezd meg, miért gyűjtik. És ne feledd: az adat, amit nem osztasz meg, még mindig lehet adat, amit megtartanak.

Az irónia nem kerüli el senkit: egy privacy-központú DNS resolver, amely weboldalak listáit gyűjti csak azért, hogy... meglegyen neki. Néha a legérdekesebb dolog egy technológiában nem az, mit csinál, hanem az, mit választ NEM csinálni, miközben az információt azért gyűjti.