DNS4EU:n paradoksi: Tietoa kerätään, mutta mitään ei tehdä

EU:n DNS4EU-projekti esiteltiin aikanaan kauniisti. Sen piti olla eurooppalainen vaihtoehto Googlen ja Cloudflaren DNS-palvelimille – palvelu, joka kunnioittaa yksityisyydensuojaa ja pitää käyttäjien kyselyt EU:n lainkäytössä.

Lupaus kuulosti hyvältä. Sitten tutkijat kaivautuivat syvemmälle.

Mitä oikeasti tapahtui

DNS4EU on kerännytsystemaattisesti piraatisivustojen estojaksoja eri EU-maista. Nämä ovat listoja, jotka tuomioistuimet ovat määränneet operaattoreiden toteuttamaan – siis ihan virallisesti, lakiteitse.

Mutta tässä tulee se oleellinen juttu: DNS4EU ei käytä näitä listoja mihinkään.

Et saa varoitusviestiä. Sivusto ei ohjaudu mihinkään. Mitään ei tapahdu. Mutta lista on olemassa.

Miksi sinun pitäisi välittää

Suostumusta ei kysytä

Kun käytät DNS4EU:ta, palvelu tietää, että olet kysynyt osoitteita, jotka löytyvät näiltä estoilta. Vaikka mitään estettä ei tapahdu, joku tietää, että sinun IP-osoitteesi yritti pääsyä tietylle sivustolle.

Tämä herättää perustavanlaatuisen kysymyksen: Miksi kerätä tietoa, jota ei aiota käyttää?

Sama pätee yrityksiin ja kehittäjiin. Government-tuettu palvelu, joka kerää käyttäytymistietoa "varmuuden vuoksi", on ristiriidassa sen kanssa, miksi DNS4EU ylipäätään vaikutti houkuttelevalta.

Luottamusongelma

Kehittäjät tekevät päivittäin päätöksiä infrastruktuurista. Valitsemme DNS-palveluntarjoajia nopeuden, luotettavuuden ja tietosuojakäytäntöjen perusteella.

Tieto siitä, että tämä EU-taustainen resolver ylläpitää listoja "sopimattomista" sivustoista – vaikka mitään ei estetäkään – muuttaa koko laskelmaa. Mitä muuta noilla listoilla mahtaa olla? Viihdesivustoja? Uutisia? Poliittista sisältöä?

Tekninen puoli

DNS-resolverilla on käytännössä kolme vaihtoehtoa, kun se kohtaa estetyn domainin:

1. Palauttaa oikean IP:n (sallii pääsyn)
2. Palauttaa NXDOMAIN (domain ei ole olemassa)
3. Palauttaa sinkhole-IP:n (ohjaa varoitussivulle)

DNS4EU näyttää tekevän vaihtoehdon yksi. Kyselysi ei ole estetty, mutta metatieto kyselystäsi kerätään silti.

Mitä sitten kannattaa käyttää

Tämä ei tarkoita, että pitäisi luopua yksityisyyskeskeisistä DNS-palveluista. Vaihtoehtoja on edelleen:

• Cloudflare (1.1.1.1) — Alan johtaja, vahvat tietosuojakäytännöt
• Quad9 — Voittoa tavoittelematon, estää haittaohjelmia, ei lokitietoja
• NextDNS — Räätälöitävissä oleva suodatus, läpinäkyvät lokikäytännöt

Tärkeintä on lukea tietosuojakäytännöt huolellisesti ja ymmärtää, mitä dataa DNS-palveluntarjoajasi kerää – vaikka he eivät koskaan käyttäisi sitä mihinkään.

Iso kuva

DNS4EU:n estojaksojen kerääminen paljastaa huolestuttavan kaavan "suvereenissa" netti-infrastruktuurissa: oletetaan, että enemmän dataa keräämällä saadaan enemmän kontrollia, riippumatta siitä, palveleeko kerätty data mitään laillista tarkoitusta.

Kehittäjille, jotka rakentavat sovelluksia eurooppalaisille käyttäjille, tämä on muistutus: yksityisyys ei ole vain sitä, missä data säilytetään – se on sitä, mitä dataa kerätään alun perin.

EU asemoi DNS4EU:n yksityisyyttä säilyttävänä vaihtoehtona amerikkalaisille DNS-palveluille. Mutta estojaksojen kerääminen käyttämättä niitä viittaa toisenlaiseen agendaan: valvontakyky ilman vastuuta.

Jos rakennat eurooppalaisille markkinoille ja mietit DNS-infrastruktuuria, tee tietoisia valintoja. Ymmärrä, mitä palveluntarjoajasi keräävät. Kyseenalaista, miksi he keräävät sitä. Ja muista: data, jota et jaa eteenpäin, on silti dataa, jota säilytetään.

Ironia ei jää keneltäkään huomaamatta: yksityisyyskeskeinen DNS-resolver kerää listoja sivustoista vain... koska ne voi kerätä. Joskus mielenkiintoisinta teknologiassa ei ole se, mitä se tekee, vaan se, mitä se valitsee jättää tekemättä samalla kun kuitenkin kerää tiedot.