Dokáže zmena DNS servera skryť tvoju aktivitu na internete pred poskytovateľom? Takto to funguje v skutočnosti

Zmena DNS patrí medzi úpravy, ktoré zvládneš na počítači, telefóne aj routeri za pár minút. Často sa spomína ako spôsob, ktorý môže zrýchliť internet, zvýšiť bezpečnosť alebo zlepšiť súkromie.

Jedna vec sa však pri DNS často chápe nesprávne. Zmena DNS neznamená, že po internete surfuješ anonymne. Ak si namiesto DNS servera svojho poskytovateľa nastavíš napríklad Cloudflare alebo Google, časť informácií síce presunieš k inej spoločnosti, no samotná internetová prevádzka stále putuje cez tvoje internetové pripojenie. DNS teda môže pomôcť so súkromím, ale nenahrádza VPN.

DNS funguje ako telefónny zoznam internetu

Keď do prehliadača zadáš napríklad example.com, počítač potrebuje zistiť, na akej IP adrese sa daná služba nachádza. Práve tu nastupuje DNS. Systém preloží názov domény na IP adresu, ku ktorej sa zariadenie následne pripojí. Ak používaš DNS server svojho poskytovateľa internetu, túto požiadavku spracuje práve on.

Môžeš však nastaviť iný DNS resolver. Medzi známe možnosti patria napríklad Cloudflare alebo Google Public DNS.

Dôležité je, že zmena DNS nemení samotné internetové pripojenie. Mení iba službu, ktorá prekladá názvy domén na IP adresy.

Súvisí s tým

Tvoj poskytovateľ internetu vidí každú stránku, ktorú otvoríš. Toto nastavenie si zmeň, ak chceš viac súkromia

Ešte väčší význam má použitie technológií DNS over HTTPS (DoH) alebo DNS over TLS (DoT). Tie dokážu DNS požiadavky zašifrovať medzi tvojím zariadením a DNS resolverom. Človek pripojený k rovnakej Wi-Fi tak nemôže jednoducho zachytiť klasickú DNS komunikáciu a z nej si vypísať všetky domény, ktoré zariadenie vyhľadáva. To však ešte neznamená, že zmizne celá stopa po internetovej aktivite.

Poskytovateľ internetu stále vidí časť komunikácie

Tu sa dostávame k najdôležitejšiemu bodu. Po získaní IP adresy sa telefón alebo počítač musí k cieľovému serveru pripojiť. Dáta pri bežnom internetovom pripojení stále putujú cez poskytovateľa internetu. HTTPS síce chráni obsah komunikácie. Poskytovateľ teda za normálnych okolností nevidí presný obsah stránky, ktorú si otvoril, ani text, ktorý si na nej prezeráš. Môže však vidieť IP adresy, s ktorými tvoje zariadenie komunikuje. Z nich môže niekedy pomerne dobre odhadnúť, ku ktorej službe sa pripájaš.

Pri niektorých webových službách nemusí byť výsledok jednoznačný. Jedna IP adresa môže patriť veľkému množstvu webov alebo služieb. V inom prípade môže IP adresa patriť priamo konkrétnej službe, takže poskytovateľ získa oveľa lepšiu predstavu o tom, kam sa pripájaš.

Ani šifrované DNS nevyrieši všetko

Situáciu ešte komplikuje TLS, technológia, ktorá stojí aj za HTTPS.

V minulosti mohol pozorovateľ sieťovej komunikácie získať informácie aj z položky SNI v TLS spojení. Tá môže obsahovať názov servera, ku ktorému sa prehliadač pripája.

Novšia technológia Encrypted Client Hello, skrátene ECH, má túto časť komunikácie dodatočne chrániť. Dokáže zašifrovať citlivé informácie z TLS ClientHello, ktoré by inak mohli prezradiť požadovaný názov hostiteľa. ECH však zatiaľ nefunguje ako univerzálny prepínač súkromia. Jeho využitie závisí od podpory prehliadača, servera aj ďalšej sieťovej infraštruktúry.

Existuje ešte jeden zdroj informácií, samotný charakter dátovej prevádzky. Aj keď obsah komunikácie zostane zašifrovaný, veľkosť paketov, ich načasovanie a smer môžu prezradiť určité vlastnosti spojenia. Zmena DNS preto rieši konkrétny problém, nie kompletnú anonymitu.

Keď zmeníš DNS, musíš dôverovať novému poskytovateľovi

Ďalší detail sa často prehliada.Ak prestaneš používať DNS server svojho poskytovateľa a nastavíš si Cloudflare, DNS požiadavky dostane Cloudflare. Ak použiješ Google Public DNS, požiadavky dostane Google.

Šifrovanie cez DoH alebo DoT chráni požiadavku počas cesty medzi tvojím zariadením a resolverom. DNS server však požiadavku musí vidieť, inak by nevedel poskytnúť odpoveď.

Preto záleží aj na pravidlách konkrétneho poskytovateľa, jeho politike uchovávania údajov a jurisdikcii, pod ktorú spadá. Požiadavky nezmiznú. Ak prestaneš používať DNS svojho poskytovateľa internetu a prejdeš na Cloudflare, požiadavky dostane Cloudflare.

Neznamená to automaticky, že každý verejný DNS server vytvára rozsiahly zoznam všetkého, čo robíš. Jednotliví poskytovatelia majú odlišné pravidlá a postupy. Pri výbere DNS preto nejde iba o rýchlosť alebo počet dostupných serverov.

V práci alebo škole môže byť DNS úplne iný príbeh

Ak používaš internet doma, situácia je pomerne jednoduchá. Oveľa menej môže zmena DNS znamenať v sieti, ktorú spravuje firma, škola alebo iná organizácia.

Správca siete môže blokovať externé DNS servery, presmerovať DNS požiadavky alebo monitorovať sieťovú komunikáciu inými mechanizmami.

Pri spravovanom počítači môže navyše existovať softvér, ktorý poskytuje správcovi ďalšiu kontrolu. V niektorých firemných sieťach môže prísť na rad aj TLS inšpekcia, ktorá umožní kontrolu časti šifrovanej komunikácie.

V takom prípade môžeš síce ručne nastaviť iný DNS server, no sieťové pravidlá ho môžu ignorovať alebo prepísať.

Zmena DNS preto môže byť užitočná bezpečnostná úprava, najmä ak použiješ DoH alebo DoT a resolver s rozumnou politikou ochrany súkromia. Nie je však náhradou za VPN a už vôbec nejde o tlačidlo, ktoré vymaže tvoju internetovú históriu pred poskytovateľom.

Najväčší zmysel preto dáva vnímať DNS ako jednu časť ochrany súkromia a bezpečnosti, nie ako kompletné riešenie.