İnternet servis sağlayıcılarının DNS müdahaleleri şifreli protokollerle engelleniyor

Ev laboratuvarındaki Podman konteynerinin dış bir siteye erişememesi üzerine yapılan inceleme, internet servis sağlayıcısının (ISP) düz metin DNS sorgularına doğrudan müdahale ettiğini ortaya çıkardı. Google DNS ve Cloudflare gibi genel sağlayıcılar üzerinden yapılan standart sorgular servis sağlayıcısına ait sahte bir IP adresine yönlendirilirken, Cloudflare'in HTTPS üzerinden DNS (DoH) uç noktası gerçek adresi döndürdü. Bu durum, geleneksel UDP protokolüyle iletilen DNS trafiğinin servis sağlayıcılar tarafından kolaylıkla ele geçirilip manipüle edilebildiğini gösterdi.

Yerel ağlarda Unbound gibi bağımsız DNS çözümleyicileri barındırmanın bu tür müdahaleleri tek başına engelleyemediği görüldü. Yerel çözümleyiciler kök ve yetkili sunucularla şifresiz iletişim kurduğundan, servis sağlayıcılar aradaki trafiği izleyip yanıtları değiştirebiliyor. Bu risk ancak çözümleyicinin şifreli DoT veya DoH protokollerini destekleyen bir hedefe yönlendirme yapmasıyla ortadan kalkıyor. Doğrulama sağlayan DNSSEC ise iletim hattını şifrelemediği gibi, küresel alan adlarının sadece yüzde 7,03'ünde geçerli ve eksiksiz bir güven zinciriyle destekleniyor.

Şifreli DNS protokollerinin servis sağlayıcı müdahalesini engellemesine rağmen güveni seçilen DNS sağlayıcısına devrettiği kaydedildi. Ayrıca internet servis sağlayıcıları, TLS el sıkışmasındaki SNI alanı ve hedef IP adresleri üzerinden ziyaret edilen siteleri izlemeyi sürdürebiliyor. Bu gözetimi bütünüyle engellemek için VPN tünelleme çözümleri önerilirken, yerel ağ yapılandırmalarında AdGuard ve dnscrypt-proxy gibi şifreli araçların kullanımı öne çıkıyor.