← 1.1.1.1 (DNS-резолвер) / 1.1.1.1 / encryption
Oblivious DNS over HTTPS
При использовании обычного DNS over HTTPS (DoH), ваши DNS-запросы шифруются, однако резолвер всё равно видит и ваш IP-адрес, и запрашиваемый домен. Oblivious DNS over HTTPS (ODoH) добавляет дополнительный уровень конфиденциальности, чтобы ни одна сторона не могла одновременно увидеть оба этих сведения.
Как работает ODoH
ODoH вводит две роли между вашим устройством и DNS-резолвером:
- Прокси : пересылает ваш зашифрованный DNS-запрос целевому серверу. Прокси видит ваш IP-адрес, но не может прочитать запрос, поскольку он зашифрован.
- Цель : получает и расшифровывает DNS-запрос, а затем отправляет его вышестоящему резолверу. Целевой сервер может прочитать запрос, но видит только IP-адрес прокси, а не ваш.
Поскольку запрос шифруется ещё до того, как достигает прокси, а целевой сервер никогда не узнаёт ваш IP-адрес:
- Прокси не видит содержимое DNS-сообщений и не может ни определить, ни прочитать, ни изменить ни запрос, отправленный клиентом, ни ответ, возвращённый целевым сервером.
- Целевой сервер видит только зашифрованный запрос и IP-адрес прокси, но не имеет доступа к IP-адресу клиента.
- Прочитать содержимое запроса и сформировать ответ, который также зашифрован, может только предполагаемый получатель.
Это означает, что пока прокси и целевой сервер не вступают в сговор, ни одна сторона не может одновременно получить доступ и к DNS-сообщениям, и к IP-адресу клиента. Клиент полностью контролирует выбор прокси и целевого сервера, поэтому вы можете выбрать прокси и сервер, управляемые разными организациями, чтобы снизить риск сговора.
Клиенты шифруют запрос для целевого сервера с помощью гибридного шифрования на открытых ключах (HPKE ↗), стандарта шифрования сообщений для получателя с использованием его открытого ключа. Открытый ключ получателя передаётся через DNS: он упакован в ресурсную запись HTTPS и защищён DNSSEC.
Продукты Cloudflare и сторонних производителей
Cloudflare 1.1.1.1 поддерживает ODoH, выступая в роли целевого сервера, доступного по адресу odoh.cloudflare-dns.com.
Для выполнения запросов ODoH можно использовать клиенты с открытым исходным кодом, например dnscrypt-proxy ↗.
iCloud Private Relay ↗ использует похожие принципы разделения приватности и использует Cloudflare в качестве одного из партнёров ↗.