Sprawa DNS4EU: Gromadzenie danych, które niczemu nie służy

Kiedy Unia Europejska ogłosiła DNS4EU jako alternatywę dla komercyjnych resolverów DNS — myślę o Google Public DNS czy 1.1.1.1 od Cloudflare — wielu entuzjastów technologii przyjęło to z entuzjazmem. W końcu chodziło o suwerenność cyfrową. Obietnica była prosta: europejska usługa DNS, która respektuje przepisy dotyczące prywatności i trzyma zapytania użytkowników w jurysdykcji UE.

A potem naukowcy odkryli coś ciekawego.

DNS4EU systematycznie zbiera listy blokad dotyczące piractwa z różnych krajów członkowskich — listy, które są efektem orzeczeń sądowych nakazujących dostawcom internetu blokowanie stron naruszających prawa autorskie. Resolver przechowuje te listy wewnętrznie. Ale jest jeden szkopuł: DNS4EU tak naprawdę ich nie używa do blokowania czegokolwiek.

Dlaczego to ma znaczenie dla Twojej prywatności

Pozwól, że wyjaśnię, dlaczego programiści i świadomi prywatności użytkownicy powinni zwrócić na to uwagę.

Twoje dane są zapisywane bez Twojej zgody

Kiedy korzystasz z DNS4EU, usługa wie, że wysyłałeś zapytania o domeny znajdujące się na tych listach blokad. Nawet jeśli żadna blokada nie następuje, istnieje zapis pokazujący, że Twój adres IP próbował uzyskać dostęp do potencjalnie pirackiej strony. Ten ślad danych budzi fundamentalne pytanie: Po co zbierać informacje, na które nie zamierzasz reagować?

Dla firm i programistów tworzących aplikacje to niepokojący precedens. Usługi wspierane przez rządy, które zbierają dane behawioralne „na wszelki wypadek", przeczą temu, co sprawiało, że DNS4EU było atrakcyjne.

Problem zaufania do infrastruktury

Jako programiści często podejmujemy decyzje dotyczące zależności infrastrukturalnych. Wybieramy dostawców DNS na podstawie niezawodności, szybkości i polityki prywatności. DNS4EU pozycjonowało się jako prywatnościowa alternatywa.

Odkrycie, że ten wspierany przez UE resolver prowadzi listy „niepożądanych" stron — nawet tych niezablokowanych — fundamentalnie zmienia rachunek zaufania. Co jeszcze może znajdować się na tych listach? Strony rozrywkowe? Serwisy informacyjne? Treści polityczne?

Rzeczywistość techniczna

Z technicznego punktu widzenia, resolvery DNS mają trzy opcje, gdy natrafią na zablokowane domeny:

1. Zwrócić prawdziwy adres IP (umożliwiając dostęp)
2. Zwrócić NXDOMAIN (domena nie istnieje)
3. Zwrócić adres IP pułapki (przekierowanie na stronę ostrzegawczą/blokującą)

DNS4EU najwyraźniej wybiera opcję pierwszą. Twoje zapytania nie są blokowane, ale metadane o tych zapytaniach i tak są gromadzone.

Co powinieneś zatem wybrać?

To nie oznacza rezygnacji z DNS ukierunkowanego na prywatność. Kilka opcji wciąż stanowi solidne wybory dla programistów i firm:

• Cloudflare (1.1.1.1) — lider branży z silną polityką prywatności
• Quad9 — organizacja non-profit z blokowaniem malware i brakiem logowania
• NextDNS — konfigurowalne filtrowanie z transparentną polityką logowania

Kluczowe jest uważne czytanie polityk prywatności i rozumienie, jakie dane Twój dostawca DNS zbiera — nawet jeśli nigdy ich nie wykorzystuje.

Szerszy obraz

Gromadzenie list blokad przez DNS4EU odsłania niepokojący wzorzec w „suwerennej" infrastrukturze internetowej: założenie, że gromadzenie większej ilości danych równa się większej kontroli, niezależnie od tego, czy te dane służą jakiemukolwiek uzasadnionemu celowi.

Dla programistów tworzących aplikacje obsługujące europejskich użytkowników, to przypomnienie: prywatność to nie tylko to, gdzie dane są przechowywane — to przede wszystkim to, jakie dane są zbierane od samego początku.

UE pozycjonowało DNS4EU jako zachowującą prywatność alternatywę dla amerykańskich usług DNS. Ale gromadzenie list blokad bez ich używania sugeruje inną agendę: zdolność do inwigilacji bez odpowiedzialności.

Jeśli tworzysz rozwiązania na rynek europejski i rozważasz infrastrukturę DNS, podejmuj świadome decyzje. Rozumiej, co zbierają Twoi dostawcy. Podważaj, dlaczego to zbierają. I pamiętaj: dane, którymi się nie dzielisz, wciąż mogą być danymi, które są zatrzymywane.

Ironia nie umyka nikomu: resolver DNS skupiony na prywatności, który gromadzi listy stron tylko po to, żeby je mieć. Czasem najciekawszą rzeczą w technologii nie jest to, co robi, ale to, co wybiera nie robić, jednocześnie gromadząc informacje.