← 1.1.1.1 (DNS resolver) / 1.1.1.1 / encryption

Oblivious DNS over HTTPS

Se standardním DNS over HTTPS (DoH), jsou sice vaše DNS dotazy šifrované, ale resolver stále vidí jak vaši IP adresu, tak doménu, kterou vyhledáváte. Oblivious DNS over HTTPS (ODoH) přidává vrstvu ochrany soukromí, díky které žádný jednotlivý subjekt nevidí obě tyto informace najednou.

ODoH zavádí mezi vaše zařízení a DNS resolver dvě role:

• Proxy : Přeposílá váš zašifrovaný dotaz DNS cílovému serveru. Proxy vidí vaši IP adresu, ale dotaz nemůže přečíst, protože je zašifrovaný.
• Cíl : Přijímá a dešifruje dotaz DNS a poté jej odesílá nadřazenému resolveru. Cílový server dotaz vidí, ale zná pouze IP adresu proxy, ne vaši.

Protože je dotaz zašifrován ještě předtím, než dorazí k proxy, a cíl se nikdy nedozví vaši IP adresu:

• Proxy nemá do DNS zpráv žádný náhled a nemůže identifikovat, číst ani upravovat dotaz odeslaný klientem ani odpověď vrácenou cílovým serverem.
• Cíl má přístup pouze k šifrovanému dotazu a IP adrese proxy, IP adresu klienta ale nevidí.
• Obsah dotazu dokáže přečíst a odpověď vytvořit pouze zamýšlený příjemce, přičemž i tato odpověď je šifrovaná.

To znamená, že pokud se proxy a cíl nespolčí, žádný subjekt nemá zároveň přístup k DNS zprávám i k IP adrese klienta. Volbu proxy a cíle mají zcela v rukou klienti, takže si můžete zvolit proxy a cíl provozované různými organizacemi a snížit tak riziko takového spolčení.

Klienti šifrují svůj dotaz pro cíl pomocí Hybrid Public Key Encryption (HPKE ↗), standard pro šifrování zpráv příjemci pomocí jeho veřejného klíče. Veřejný klíč cíle se získává prostřednictvím DNS, kde je uložen v záznamu HTTPS a chráněn DNSSEC.

Cloudflare 1.1.1.1 podporuje ODoH tím, že funguje jako cíl dostupný na adrese odoh.cloudflare-dns.com.

K odesílání dotazů ODoH můžete použít open source klienty, například dnscrypt-proxy ↗.

iCloud Private Relay ↗ používá podobné principy oddělení soukromí a využívá Cloudflare jako jednoho ze svých partnerů ↗.

• HPKE: standardizace šifrování veřejným klíčem ↗ příspěvek na blogu
• Privacy Gateway