DoH ve DoT Nedir, Güvenlik Duvarını Neden İlgilendirir?

DNS sorguları tasarımı gereği açık gider. Yoldaki herkes hangi adı sorduğunuzu görebilir ve isterse cevabı değiştirebilir. Bu, mahremiyet açısından uzun süredir eleştiriliyordu.

İki çözüm ortaya çıktı ve ikisi de sorguyu şifreliyor. Aralarındaki fark, nereye sakladıklarında.

İki Yöntem

DoT, DNS’i TLS içine alır ve kendine ayrılmış 853 numaralı portu kullanır. Trafik şifrelidir ama nerede olduğu bellidir. Ağ tarafında port üzerinden tanınabilir, ölçülebilir ve gerekirse engellenebilir.

DoH, DNS’i HTTPS isteklerinin içine gömer ve 443 numaralı porttan taşır. Ayrı bir port yoktur. Sorgu, aynı bağlantıda akan diğer web trafiğinden ayırt edilemez.

Aradaki fark gizlilikte değil, görünürlüktedir. İkisi de aynı şeyi şifreler; biri nerede olduğunu söyler, diğeri söylemez.

Varsayım Neden Bozuldu

Kurumsal DNS denetimi uzun süre tek bir noktaya dayandı. Bütün istemciler kurum çözümleyicisini kullanır, 53 numaralı porta giden diğer trafik engellenir, böylece her sorgu görülür ve kayda geçer.

Bu düzen üç yerden aşınır:

• Tarayıcılar. Bazı tarayıcılar kendi DoH uçlarını varsayılan ya da kolay ulaşılır bir ayar olarak sunar. İstemci işletim sisteminin çözümleyicisini hiç kullanmaz.
• Uygulamalar. Bir uygulama kendi içine gömülü bir çözümleyiciyle çalışabilir.
• İşletim sistemi. Şifreli DNS artık sistem seviyesinde bir ayardır ve ağ profiline göre değişebilir.

Kullanıcının kötü niyetli olması gerekmez. Varsayılan ayar değiştiğinde, kurumun DNS görünürlüğü sessizce daralır.

Neyi Kaybedersiniz

DNS kayıtlarının beslediği kontroller birlikte zayıflar:

• Alan adı tabanlı engelleme ve kategori filtreleme.
• Sinkhole ile zararlı yazılım bulaşmış makinelerin tespiti.
• Tünelleme analizi; sorgu uzunluğu ve alt alan çeşitliliği artık görünmez.
• Erişim loglarında hangi adın çözüldüğü kaydı.

Kaybın büyüklüğü, bu kontrollerin ne kadarının yalnız DNS’e dayandığına bağlıdır.

Ne Yapılır

Tek bir kural bu sorunu çözmez. Katmanlı bir yaklaşım gerekir.

853 numaralı portun dışarıya kapatılması DoT kullanımını engeller ve ucuzdur. DoH için aynı şey yapılamaz; port kapatmak 443’ü kapatmak demektir.

DoH tarafında iki yol vardır. Birincisi, bilinen genel DoH sağlayıcılarının adreslerini engellemektir; liste bakım ister ve eksiksiz olmaz. İkincisi, yönetilen cihazlarda tarayıcı ve işletim sistemi politikasıyla şifreli DNS’i kurum çözümleyicisine sabitlemektir.

İkinci yol daha kalıcıdır çünkü şifrelemeyi kapatmaz, yalnız muhatabı belirler. Kurum çözümleyicisi de DoH konuşabiliyorsa, sorgular hem şifreli hem görünür kalır.

Yönetilmeyen cihazlar için ise ağ katmanında verilecek karar sınırlıdır. O cihazların hangi bölüme yerleştirileceği, DNS politikasından daha belirleyici olur.