ماذا يعني DNS over HTTPS؟ شرح مبسط

قبل أن يفتح متصفحك أي موقع، يسأل: ما العنوان الرقمي لهذا الاسم؟ ولسنوات كان هذا السؤال يُرسل مكشوفا. وظهرت طريقتان لتشفيره: DNS over TLS الذي يستخدمه أندرويد، و DNS over HTTPS الذي تستخدمه المتصفحات غالبا. وهذا المقال عن الثانية. ولشرح DNS نفسه من البداية اقرأ ماذا يعني DNS؟.

ما هو DNS over HTTPS بكلمات بسيطة؟

DNS over HTTPS، ويختصر DoH، يضع سؤال "ما عنوان هذا الموقع؟" داخل اتصال HTTPS عادي، مثل أي صفحة آمنة تفتحها. فلا يقرأ أحد في الطريق السؤال ولا يغير إجابته.

صدر المعيار في أكتوبر 2018 في وثيقة RFC 8484، ويقول ملخصها إنها تعرّف بروتوكولا "لإرسال طلبات DNS واستقبال إجاباتها عبر HTTPS". وتشترط الوثيقة استخدام https، وتذكر المنفذ 443 الافتراضي لـ HTTPS كطريقة تجعل التدخل في هذه الحركة أصعب.

ما الذي يحميه؟

بحسب مدونة كروميوم في مايو 2020، يوفر DoH في كروم ثلاث حمايات:

• الأصالة: المتصفح يتأكد أنه يتكلم مع مزود DNS الحقيقي، لا مزود مزيف.
• السلامة: الإجابة لم تُغير في الطريق، فيصعب توجيهك لموقع احتيال.
• السرية: من على نفس الشبكة، مثل واي فاي عام، لا يرى المواقع التي تزورها من خلال DNS.

لكن مثل DNS over TLS، الخادم الذي تتصل به يرى طلباتك، لأن التشفير ينتهي عنده.

أين تجده؟

غالبا داخل المتصفحات:

• جوجل كروم: بدأ طرح خاصية "DNS الآمن" مع الإصدار 83. وتقول المدونة إن كروم ينتقل تلقائيا إلى DoH إذا كان مزود DNS الحالي يدعمه، ويسمح باختيار مزود محدد يدويا. والإعداد من إعدادات كروم ثم البحث عن Secure DNS.
• متصفحات أخرى تقدم خيارات مشابهة بأسماء مختلفة.

ما الفرق بينه وبين DNS over TLS؟

	DNS over HTTPS	DNS over TLS
المعيار	RFC 8484، أكتوبر 2018	RFC 7858، مايو 2016
المنفذ	443، مع باقي المواقع الآمنة	853، خاص به
تمييزه في الشبكة	صعب	سهل
أين تجده غالبا	داخل المتصفحات	DNS الخاص في أندرويد

لماذا يهم الأهل ومن يحمي نفسه؟

لأن الفلترة على مستوى الشبكة تعتمد على أن يمر سؤال DNS على خادم الفلترة. فإذا اختار المستخدم في المتصفح خادم DoH آخر، قد يمر السؤال حول الفلترة.

والجيد أن كروم صُمم بحذر هنا. فبحسب مدونة كروميوم:

• يحتفظ بنفس المزود افتراضيا: يرقي الاتصال إلى DoH مع مزودك الحالي نفسه، "للحفاظ على خدمات إضافية مثل فلترة العائلة".
• يتوقف مع الرقابة الأبوية في ويندوز: حتى تستمر برامج الفلترة التي تعتمد على DNS العادي في العمل.
• يتوقف في البيئات المُدارة: إذا وجد سياسة إدارة واحدة أو أكثر على الجهاز.

لكن من يعرف الإعداد يستطيع أن يختار مزودا آخر يدويا إذا لم يكن الجهاز مُدارا. ولهذا لا تعتمد الحماية الجادة على أن "لا ينتبه أحد للإعداد".

كيف يتعامل تابع مع هذا؟

تابع للأطفال وتابع للكبار يعملان بصلاحية مالك الجهاز على أندرويد، فيثبّتان إعداد DNS الخاص على خوادم تابع للفلترة ويقفلانه، فيغطي المتصفحات والتطبيقات وكل الشبكات. ومواقع الـ VPN والبروكسي فئة يمكن حجبها في تصفية الإنترنت. وعلى ويندوز، يعمل تابع سطح المكتب بفلترة DNS على ثلاث طبقات: داخل المتصفحات، وإعدادات الشبكة، وجدار حماية ويندوز.

الخلاصة

DNS over HTTPS يشفر أسئلة جهازك عن المواقع على المنفذ 443 مع باقي المواقع الآمنة، فيحمي خصوصيتك في الطريق، والخادم الذي تختاره يرى طلباتك. وتجده غالبا في المتصفحات باسم DNS الآمن. وهو آمن للعائلات حين يبقى على مزود الفلترة، ولهذا تحتاج الحماية الجادة أن تكون الإعدادات مقفولة لا مجرد مخفية.

المصادر

• RFC 8484: طلبات DNS عبر HTTPS (أكتوبر 2018)
• مدونة كروميوم: تجربة تصفح أكثر أمانا وخصوصية مع DNS الآمن (مايو 2020)
• RFC 7858: معيار DNS over TLS (مايو 2016)