Co je DNS over HTTPS?
Než se telefon připojí k webu, zeptá se serveru DNS na adresu webu (viz Co je DNS). DNS over HTTPS, neboli DoH, posílá tuto otázku uvnitř běžného spojení HTTPS, stejného šifrovaného kanálu, který chrání stránky internetového bankovnictví. Je definováno v RFC 8484: DNS dotaz se přenáší v požadavku HTTPS na adresu, například https://example-resolver.test/dns-query.
Výsledkem je stejná odpověď jako dřív. Mění se jen to, že cesta mezi telefonem a serverem DNS je šifrovaná.
Jaký je rozdíl mezi běžným DNS, DoT a DoH?
| Běžné DNS | DNS over TLS (DoT) | DNS over HTTPS (DoH) | |
|---|---|---|---|
| Šifrované | Ne | Ano | Ano |
| Port | 53 | 853 | 443 (stejný jako web) |
| Podoba v síti | Čitelné DNS pakety | Spojení TLS na vyhrazeném portu | Vypadá jako běžné HTTPS |
| Kde se s tím setkáte | Výchozí na většině sítí | Soukromé DNS v Androidu | Prohlížeče, aplikace, EZOBLOCKER |
Vyhrazený port DoT bývá v podnikových, hotelových a některých mobilních sítích blokovaný. DoH používá stejný port jako webové stránky, takže se jen zřídka blokuje, aniž by se rozbil celý web.
Proč na šifrovaném DNS záleží?
Běžné DNS může číst každý na trase: majitel Wi-Fi, provozovatel sítě nebo někdo, kdo sdílí veřejný hotspot. Seznam názvů, na které se telefon ptá, o tom, co děláte, mnoho vypovídá. Odpovědi běžného DNS lze také cestou změnit, například aby vás nasměrovaly na špatnou adresu.
Šifrování řeší obojí: otázky nelze cestou přečíst a odpověď je chráněna proti úpravě při přenosu. Samotný server DNS ale neslepí, takže záleží na tom, kdo ho provozuje a co si uchovává.
Jak EZOBLOCKER používá DoH?
EZOBLOCKER ve vašem telefonu provozuje malý místní tunel. Tunel zachytává DNS dotazy a přeposílá je, šifrované přes DoH, na vlastní servery EZOBLOCKER. Servery odpovídají normálně u webů, které smíte otevřít, a vracejí odpověď „zablokováno“ u kategorií, které jste zapnuli, například reklam, sledovacích nástrojů, hazardu nebo webů pro dospělé. Filtrování probíhá na serverech dřív, než se cokoli načte.
Co se odesílá a co ne:
- Telefon posílá na servery jen DNS dotazy. Stránky, zprávy a videa přes ně neprocházejí.
- Servery neuchovávají žádný záznam o webech, které navštěvujete. O vás vědí jen anonymní ID zařízení, zvolené kategorie, adresy ve vašem vlastním seznamu a stav předplatného.
- Pokud servery nejsou dostupné, mohou se názvy webů krátce odeslat známým veřejným službám DNS, například Cloudflare nebo Quad9, aby se internet nepřerušil.
Proto systém zobrazuje ikonu VPN: funkce VPN v telefonu je jediný způsob, jak může aplikace zachytávat DNS dotazy. Neprochází tudy váš provoz přes server VPN. Podrobnosti najdete na stránce o soukromí.
Mohu si v EZOBLOCKER zvolit jiného poskytovatele DoH?
Ano. V části „Pokročilé“ a poté „Poskytovatel DNS“ můžete vybrat veřejného poskytovatele nebo zadat vlastní adresu DoH, která musí začínat https://. V tomto režimu vaše dotazy míří k danému poskytovateli a kategorie EZOBLOCKER se neuplatní. Tabulka poskytovatelů a jejich adres DoH je v přehledu rodinných DNS serverů.
Jak se to liší od Soukromého DNS v Androidu?
Soukromé DNS v Androidu používá DoT s názvem hostitele. Pokud je tam název hostitele zadaný, má přednost před filtrem EZOBLOCKER, takže by při používání aplikace mělo být „Vypnuto“ nebo „Automaticky“. Postup je v návodu Jak nastavit Soukromé DNS v Androidu.
Zda vaše dotazy procházejí filtrem, ověříte pomocí ověření ochrany. Celkový obraz podává stránka o změně DNS.