DNS. Co widzi dostawca internetu, zanim włączysz VPN
Zanim przeglądarka pobierze pierwszą paczkę HTML, ktoś musi przetłumaczyć nazwę domeny na adres IP. To robi DNS. Przy domyślnej konfiguracji zapytanie idzie do resolvera wskazanego przez DHCP, zwykle należącego do Twojego ISP. Dostawca nie musi czytać treści HTTPS, żeby wiedzieć, że pytałeś o forum.przyklad.org o 23:11.
To jedna z najbardziej niedocenianych warstw prywatności. Ludzie kupują VPN od razu, a DNS zostawiają na auto. Albo włączają VPN i nie sprawdzają, czy zapytania nadal wychodzą bokiem.
Co widać w plain DNS
Klasyczne zapytanie DNS (port 53, UDP/TCP) idzie otwartym tekstem w sieci lokalnej i do resolvera. Na ścieżce widać hostname. Nie widać ścieżki URL ani hasła w formularzu. Do profilowania ruchu często wystarcza sama domena: bank, poczta, poradnia, Tor Project, aktualizacja firmware.
ISP, administrator sieci biurowej i ktoś w tej samej sieci Wi-Fi z odpowiednim podsłuchem ruchu mogą zbierać te zapytania. Retencja i prawo zależą od kraju. Mechanizm techniczny jest prosty: pytałeś, więc hostname został wypowiedziany na głos.
HTTPS chroni treść sesji z serwerem. SNI (Server Name Indication) w starszych wersjach TLS też bywa czytelne dla obserwatora na ścieżce. Encrypted Client Hello i podobne prace idą w stronę zasłonięcia tego kanału, ale wdrożenie jest nierówne. DNS pozostaje osobnym, często zapomnianym przeciekiem.
DoH i DoT, bez magii
DNS over TLS (DoT) owija zapytania w TLS do znanego resolvera, zwykle na porcie 853. DNS over HTTPS (DoH) wkłada je w zwykły ruch HTTPS, często do resolvera typu Cloudflare, Google albo NextDNS. Obserwator na ścieżce między Tobą a tym resolverem widzi, że łączysz się z usługą DNS, ale nie czyta listy hostname’ów jawnym tekstem.
To przenosi zaufanie. Zamiast ISP widzieć każdą domenę, widzi ją operator DoH/DoT. Wybierasz, komu wolisz oddać ten log: lokalnemu dostawcy z polskim retencyjnym bagażem, czy firmie z innym modelem biznesowym i inną jurysdykcją. Nie ma opcji „nikt nie widzi”, dopóki ktoś musi odpowiedzieć na zapytanie.
Przeglądarki (Firefox, Chrome) potrafią włączyć DoH niezależnie od systemu. System (Android, Windows, router) może mieć własny DoT. Konflikt ustawień bywa źródłem niespodzianek: myślisz, że idzie przez Cloudflare, a aplikacja omija przeglądarkę i pyta resolver z DHCP.
VPN i DNS to nie to samo
VPN buduje tunel do serwera dostawcy. Dobrze skonfigurowany klient spycha też DNS w tunel, do resolvera wskazanego przez VPN. Źle skonfigurowany albo tunel dzielony (split tunnel) zostawia DNS na ISP. Wtedy masz ładną ikonkę tarczy w trayu i nadal dyktujesz hostname’y Orange’owi albo UPC.
Testy wycieku sprowadzają się do pytania: jaki resolver odpowiada i jaki adres IP widzi strona testowa. Jeśli IP jest z VPN, a DNS nadal z ISP, masz połowiczny strój.
Wybór VPN-a to osobna rozmowa. Na rankingach zostawiam porównania pod kątem polityki logów i jurysdykcji. Tu interesuje mnie tylko reguła: czytaj, czy klient wymusza własny DNS i czy zabija IPv6, jeśli nie tunelujesz IPv6. Wyciek po IPv6 albo po WebRTC to częsty towarzysz „anonimowego” wieczoru.
Co z odciskiem przeglądarki
DNS nie jest jedynym sygnałem. Nawet przy DoH i VPN przeglądarka składa odcisk z fontów, canvas, WebGL, języków, strefy czasowej. Dostawca DNS widzi domeny. Serwis, na który wchodzisz, widzi fingerprint. To różne warstwy. Łączenie ich w jeden mit „jestem niewidzialny, bo mam NordVPN” kończy się rozczarowaniem.
Dla dziennikarza albo aktywisty w sieci wrogiej DNS bywa prostszym wektorem niż złamanie TLS. Wystarczy lista odwiedzonych domen z resolvera. Dlatego w twardych modelach pojawia się własny resolver, Tor jako transport albo świadome ograniczenie tego, co w ogóle odpytujesz o nazwę z głównej maszyny.
Praktycznie, bez checklisty z reklam
Jeśli zostajesz przy DNS od ISP, zakładaj, że historia domen jest po ich stronie. Jeśli włączasz DoH, wybierz resolver świadomie i sprawdź, czy system go respektuje. Jeśli używasz VPN, sprawdź DNS po połączeniu, nie przed zakupem rocznego planu.
Router z DoT dla całej sieci domowej bywa wygodniejszy niż klikanie w każdej przeglądarce. Telefony i IoT i tak będą próbowały iść na skróty. Kamera, telewizor, drukarka: każde z tych urządzeń pyta o hostname przy aktualizacji albo przy „smart” funkcji. Prywatność DNS to higiena całego LAN-u, nie tylko karty w Chrome.
W podróży, na hotelowym Wi-Fi, zwykły DNS jest szczególnie gadatliwy. Captive portal i tak każe Ci najpierw gadać z bramką hotelu. Potem, jeśli nie wepniesz tunelu, oddajesz listę domen operatorowi sieci, której nie wybrałeś. VPN z wymuszonym DNS albo DoH do znanego resolvera zmniejsza ten konkretny przeciek. Nie kasuje faktu, że hotel widzi Twój tunel do jednego endpointu.
Nie potrzebujesz atakować cudzej sieci, żeby to zrozumieć. Wystarczy wiedzieć, że zanim zobaczysz kłódkę w pasku adresu, ktoś już usłyszał nazwę hosta. Pytanie tylko, kto.