DNS sobre HTTPS Oblivioso (ODoH): uma tentativa de melhorar a privacidade do DNS

O Sistema de Nomes de Domínio ou DNS é um sistema de nomenclatura descentralizado para todos os diferentes sites que existem na internet. É um dos blocos de construção essenciais da internet e existe há mais de três décadas. Ao longo desse período, o sistema foi alvo de críticas, com argumentos válidos, sobre a implementação e as preocupações de privacidade que ele traz. E, como resultado, houve algumas tentativas de abordar essas preocupações.

Uma dessas tentativas — e uma muito recente — é a introdução do protocolo DNS sobre HTTPS (DoH), que promete proteger a comunicação DNS ao transmiti-la de forma criptografada. Embora o DoH pareça promissor em teoria e consiga resolver um dos problemas com o DNS, ele inadvertidamente traz outra preocupação à tona. Para corrigir isso, agora temos outro novo protocolo, chamado DNS Oblivioso sobre HTTPS (ODoH), que foi co-desenvolvido pela Cloudflare, Apple e Fastly. O DoH Oblivioso é basicamente uma extensão do protocolo DoH que desacopla as consultas DNS dos endereços IP (do usuário) para impedir que o resolvedor DNS saiba quais sites um usuário visita — tipo [mais sobre isso mais tarde].

“O que o ODoH pretende fazer é separar as informações sobre quem está fazendo a consulta e qual é a consulta”, disse Nick Sullivan, chefe de pesquisa da Cloudflare, em um blog.

DNS Oblivioso sobre HTTPS (ou ODoH)

Antes de mergulharmos diretamente no que é o ODoH, vamos primeiro entender o que é DNS e, posteriormente, DNS sobre HTTPS, e as limitações que os dois apresentam.

DNS (Sistema de Nomes de Domínio)

O Sistema de Nomes de Domínio ou DNS é um sistema descentralizado de manutenção de registros de todos os sites na internet. Você pode pensar nele como um repositório (ou diretório telefônico) para números de telefone que contém uma lista de assinantes de telefone e seus respectivos números de telefone.

Em termos de internet, o DNS é um jogador crítico na criação de um sistema que permite que você acesse um site apenas digitando seu nome de domínio, sem precisar lembrar seu endereço IP (Protocolo de Internet) associado. Por isso, você pode digitar techpp.com no campo de endereço para visualizar este site sem ter que lembrar seu endereço IP, que pode parecer algo como 103.24.1.167 [não é nosso IP]. Você vê, é o endereço IP que é necessário para estabelecer uma conexão entre seu dispositivo e o site que você está tentando acessar. Mas, como um endereço IP não é tão fácil de lembrar quanto um nome de domínio, há uma necessidade de um resolvedor DNS para resolver nomes de domínio em seus endereços IP associados e retornar a página da web solicitada.

Problema com o DNS

Embora o DNS simplifique o acesso à internet, ele tem algumas desvantagens — a maior delas é a falta de privacidade (e segurança), que representa um risco para os dados do usuário e os deixa expostos para serem visualizados pelo ISP ou espionados por algum malfeitor na internet. A razão pela qual isso é possível é devido ao fato de que a comunicação DNS (solicitação/consulta e resposta DNS) é não criptografada, o que significa que ocorre em texto simples e, portanto, pode ser interceptada por qualquer um no meio (entre o usuário e o ISP).

DoH (DNS sobre HTTPS)

Como mencionado inicialmente, o protocolo DNS sobre HTTPS (DoH) foi introduzido para abordar essa preocupação (de segurança) do DNS. Basicamente, o que o protocolo faz é, em vez de permitir que a comunicação DNS — entre o cliente DoH e o resolvedor baseado em DoH — ocorra em texto simples, ele usa criptografia para proteger a comunicação. Ao fazer isso, consegue proteger o acesso dos usuários à internet e reduzir os riscos de ataques man-in-the-middle — até certo ponto.

Problema com o DoH

Embora o DoH aborde o problema da comunicação não criptografada sobre o DNS, ele levanta uma preocupação de privacidade — sobre colocar o provedor de serviço DNS em controle total dos seus dados de rede. Pois, uma vez que o provedor DNS atua como um intermediário entre você e o site que você acessa, ele mantém um registro do seu endereço IP e das mensagens DNS. De certa forma, isso levanta duas preocupações. Primeiro, deixa uma única entidade com acesso aos seus dados de rede — permitindo que o resolvedor vincule todas as suas consultas ao seu endereço IP, e segundo, devido à primeira preocupação, deixa a comunicação suscetível a um único ponto de falha (ataque).

Protocolo ODoH e seu funcionamento

O mais recente protocolo, ODoH, co-desenvolvido pela Cloudflare, Apple e Fastly, visa resolver o problema de centralização do protocolo DoH. Para isso, a Cloudflare sugere que o novo sistema separa os endereços IP das consultas DNS para que nenhuma entidade única, exceto o usuário, possa visualizar ambas as informações ao mesmo tempo.

O ODoH aborda esse problema implementando duas mudanças. Ele adiciona uma camada de criptografia de chave pública e um proxy de rede entre o cliente (usuário) e o servidor DoH. Ao fazer isso, afirma garantir que apenas o usuário tenha acesso tanto às mensagens DNS quanto aos endereços IP ao mesmo tempo.

Em resumo, o ODoH atua como uma extensão do protocolo DoH que visa alcançar o seguinte:

i. impedir que o resolvedor DoH saiba qual cliente solicitou quais nomes de domínio, canalizando as solicitações via proxy para remover os endereços dos clientes,

ii. impedir que o proxy saiba o conteúdo das consultas e respostas, e manter o resolvedor sem saber os endereços dos clientes, criptografando a conexão em camadas.

Fluxo de mensagens com ODoH

Para entender o fluxo de mensagens com ODoH, considere a figura acima, onde um servidor proxy está entre o cliente e o alvo. Como você pode ver, quando o cliente solicita uma consulta (digamos example.com), a mesma vai para o servidor proxy, que então a encaminha para o alvo. O alvo recebe essa consulta, a descriptografa e gera uma resposta enviando a solicitação para o resolvedor (recursivo). No caminho de volta, o alvo criptografa a resposta e a encaminha para o servidor proxy, que então a envia de volta ao cliente. Finalmente, o cliente descriptografa a resposta e obtém uma resposta contra sua consulta solicitada.

Nesse cenário, a comunicação — entre o cliente e o proxy e o proxy e o alvo — ocorre sobre HTTPS, o que aumenta a segurança da comunicação. Não apenas isso, toda a comunicação DNS que ocorre sobre ambas as conexões HTTPS — cliente-proxy e proxy-alvo — é criptografada de ponta a ponta para que o proxy não tenha acesso ao conteúdo da mensagem. No entanto, isso dito, embora tanto a privacidade quanto a segurança do usuário sejam cuidadas nessa abordagem, a garantia de que tudo funcione como sugerido se resume a uma condição final — o proxy e o servidor alvo não coludem. E, portanto, a empresa sugere que “enquanto não houver colusão, um atacante só terá sucesso se tanto o proxy quanto o alvo forem comprometidos.”

De acordo com um blog da Cloudflare, aqui está o que a criptografia e o proxy garantem:

i. O alvo vê apenas a consulta e o endereço IP do proxy.

ii. O proxy não tem visibilidade sobre as mensagens DNS, sem capacidade de identificar, ler ou modificar tanto a consulta enviada pelo cliente quanto a resposta retornada pelo alvo.

iii. Apenas o alvo pretendido pode ler o conteúdo da consulta e produzir uma resposta.

Disponibilidade do ODoH

O DNS Oblivioso sobre HTTPS (ODoH) é apenas um protocolo proposto até agora e precisa ser aprovado pelo IETF (Internet Engineering Task Force) antes de ser adotado na web. Embora a Cloudflare sugira que, até agora, conseguiu empresas como PCCW, SURF e Equinix como seus parceiros de proxy para ajudar no lançamento do protocolo e que adicionou a capacidade de aceitar solicitações ODoH em seu serviço DNS 1.1.1.1, a verdade é que, a menos que os navegadores da web adicionem suporte nativo para o protocolo, você não poderá usá-lo. Pois, o protocolo ainda está na fase de desenvolvimento e está sendo testado para desempenho em diferentes proxies, níveis de latência e alvos. Por essa razão, pode não ser uma boa ideia arbitrar o destino do ODoH imediatamente.

Com base nas informações e dados disponíveis, o protocolo parece promissor para o futuro do DNS — desde que consiga alcançar o tipo de privacidade que promete sem comprometer o desempenho. Como já é muito evidente agora que o DNS, responsável por desempenhar um papel crítico no funcionamento da internet, ainda sofre com problemas de privacidade e segurança. E apesar da recente adição do protocolo DoH que promete adicionar ao aspecto de segurança do DNS, a adoção ainda parece distante devido às preocupações de privacidade que levanta.

Mas, se o ODoH conseguir cumprir suas promessas em termos de privacidade e desempenho, sua combinação com o DoH, enquanto trabalha em conjunto, pode abordar tanto as preocupações de privacidade quanto de segurança do DNS. E, por sua vez, torná-lo muito mais privado e seguro do que é hoje.