Salattu DNS ja DNS-vuoto: kuka näkee avaamasi sivustot

Lukko osoiterivillä lupaa vähemmän kuin moni olettaa. Se kertoo, että selaimen ja palvelimen välinen liikenne on salattua: sivun sisältö, lomakkeet ja osoitteen loppuosa eivät näy matkalla. Se ei kerro mitään siitä, näkyikö kohteen nimi ulkopuolelle ennen kuin salaus alkoi. Ja yleensä näkyi.

Syy on ketjun järjestyksessä. Ennen kuin mitään voidaan salata, laitteen pitää tietää minne ottaa yhteys. Se selviää nimipalvelusta, ja nimipalvelun kysely on tehty aikana, jolloin salausta ei ajateltu. Tämän vuoksi salatun yhteyden ympärillä on kaksi kohtaa, joissa kohteen nimi liikkuu suojaamattomana. Kannattaa käydä ketju läpi ennen kuin miettii ratkaisuja, koska muuten korjaa väärää kohtaa.

Yhteyden avaus vuotaa kolmessa kohdassa

Kun kirjoitat osoitteen ja painat enteriä, tapahtuu neljä vaihetta peräkkäin. Taulukko näyttää, mitä kussakin liikkuu ja kuka sen voi nähdä.

Kaksi ensimmäistä riviä ovat sitä, mistä tässä artikkelissa on kyse. Nimipalvelun perustoiminta, eli miten kysely etenee välimuistista juurelta alaspäin, on selitetty erikseen artikkelissa DNS selitettynä. Mitä lukko ja varmenne oikeasti todistavat, on avattu artikkelissa HTTPS ja varmenteet.

Miksi nimikysely on yhä selkokielinen

Nimipalvelu suunniteltiin verkon alkuaikoina, kun uhkamalli oli toinen. Kysely lähetetään pienenä pakettina, tavallisesti UDP-protokollalla, eikä siihen kuulu salausta eikä vastapuolen tunnistamista. Käytettävän nimipalvelimen laite saa yleensä automaattisesti reitittimeltä, joka on saanut sen operaattorilta. Näin ollen oletustilanteessa operaattorisi näkee jokaisen selvittämäsi nimen, aikaleiman kanssa.

Tämä on myös syy siihen, että nimipalvelu on kätevä paikka estoille. Kun jokin sivusto halutaan estää operaattoritasolla, esto toteutetaan usein juuri nimipalvelussa: kysely saa vastaukseksi jotain muuta kuin oikean osoitteen. Sama tekniikka toimii myös mainosten ja haittasivustojen suodattamiseen, jos valitset suodattavan nimipalvelimen tietoisesti.

Kaikki sivunavaukset eivät silti tuota kyselyä. Vastaukset jäävät välimuistiin sekä laitteelle että selaimeen, ja niillä on voimassaoloaika. Toistuvat käynnit samalla sivustolla voivat siis kulkea ilman uutta kyselyä, mikä ei kuitenkaan muuta kokonaiskuvaa: ensimmäinen käynti näkyy aina.

Salatun nimipalvelun kolme muotoa

Salattu nimipalvelu tarkoittaa, että kysely kulkee suojatussa yhteydessä sinun ja valitsemasi nimipalvelimen välillä. Muotoja on kolme, ja ero on lähinnä siinä, miltä liikenne näyttää ulospäin.

Käytännön ero tavalliselle käyttäjälle on pieni. HTTPS-muotoinen on yleisin selaimissa, koska se toimii myös verkoissa, jotka rajoittavat muita portteja. Laitetason asetuksissa vastaan tulee usein TLS-muoto. Molemmat suojaavat saman asian: kyselyn sisällön matkalla.

Olennaista on huomata, mitä ne eivät suojaa. Salattu kysely päättyy nimipalvelimelle, joka lukee sen selkokielisenä. Palvelin myös kysyy tarvittaessa eteenpäin auktoritatiiviselta nimipalvelimelta, joka näkee kyselyn tulevan tuolta palvelimelta. Nimi ei siis katoa mihinkään, vaan sen alkuperä peittyy.

Näin otat salatun nimipalvelun käyttöön

Asetuksia on kolmella tasolla, ja ne eivät korvaa toisiaan. Etene tässä järjestyksessä.

1. Päätä taso. Selaimen asetus koskee vain kyseistä selainta. Käyttöjärjestelmän asetus koskee kaikkia ohjelmia. Reitittimen asetus koskee kaikkia kotiverkon laitteita, myös niitä joissa ei ole omaa asetusta.
2. Selaimessa asetus löytyy tietosuoja- tai turvallisuusasetuksista, ja se on nimetty yleensä suojatuksi tai salatuksi nimipalveluksi. Valitse joko valmis palveluntarjoaja listalta tai syötä osoite itse.
3. Käyttöjärjestelmässä asetus on verkkoyhteyden asetuksissa. Androidissa se on nimeltään yksityinen DNS, muissa järjestelmissä nimitykset vaihtelevat versioittain. Tee asetus erikseen wifille ja mobiiliyhteydelle, jos järjestelmä pitää niitä erillisinä.
4. Reitittimessä asetus on nimipalvelinten kohdalla, jos laite tukee salattua muotoa. Huomaa, että tällöin salaus alkaa vasta reitittimeltä: kotiverkon sisäinen matka laitteelta reitittimelle on yhä suojaamaton.
5. Tarkista, etteivät tasot riitele. Jos selaimessa on yksi salattu palvelin ja käyttöjärjestelmässä toinen, kyselysi jakautuvat kahdelle toimijalle, ja saat kaksi tarkkailijaa yhden sijaan.
6. Varmista, ettei mikään lakkaa toimimasta. Työpaikan sisäverkon nimet ja kotiverkon laitenimet eivät välttämättä ratkea ulkopuoliselta palvelimelta. Jos jokin sivu tai palvelu lakkaa aukeamasta, oireiden tunnistamiseen on oma ohjeensa artikkelissa nimipalveluvian tunnistaminen.

Palvelinnimi lähtee silti kättelyn alussa

Vaikka nimikysely olisi salattu, kohteen nimi liikkuu vielä kerran suojaamattomana. Kun selain avaa salatun yhteyden, se kertoo kättelyn ensimmäisessä viestissä, mille palvelinnimelle yhteys on tulossa. Tieto tarvitaan, koska yhden IP-osoitteen takana voi olla satoja sivustoja ja palvelimen pitää tietää, minkä varmenteen se lähettää. Tuo ensimmäinen viesti lähtee ennen kuin salaus on voimassa, joten se on luettavissa.

Kättelyn salaava laajennus on olemassa, mutta se ei ole yleisesti käytössä. Sen pitää olla tuettuna sekä selaimessa että palvelun päässä, ja se nojaa lisäksi nimipalvelusta haettavaan tietoon. Käytännössä kannattaa siis olettaa, että palvelinnimi näkyy verkon tarkkailijalle, ellei liikennettä ole erikseen tunneloitu.

Vaikka nimi olisi piilossa, kohteen IP-osoite ei ole. Monella pienellä sivustolla osoite riittää tunnistamaan kohteen yksiselitteisesti. Suurten jakeluverkkojen takana olevat sivustot jakavat osoitteita keskenään, jolloin osoite kertoo vähemmän. Se, mitä osoitteesta ylipäätään voi päätellä, on käyty läpi artikkelissa IP-osoite selitettynä.

DNS-vuoto: tunneli toimii, kyselyt eivät kulje siinä

DNS-vuoto tarkoittaa tilannetta, jossa varsinainen liikenne kulkee VPN-tunnelissa mutta nimikyselyt lähtevät sen ulkopuolelta. Lopputulos on harhaanjohtava: yhteys näyttää suojatulta, IP-osoite näyttää olevan toisessa maassa, ja silti lista vierailluista sivustoista valuu paikalliseen verkkoon tai operaattorille.

Vuoto syntyy tyypillisesti näistä syistä:

• Laite käyttää yhä sitä nimipalvelinta, jonka se sai reitittimeltä yhdistäessään verkkoon, koska VPN ei ohjannut kyselyitä uudelleen.
• Jaettu tunnelointi on käytössä, jolloin osa liikenteestä kiertää tunnelin ohi tarkoituksella.
• VPN käsittelee vain IPv4-liikenteen, ja laitteen IPv6-kyselyt menevät suoraan ulos.
• Selaimen oma salattu nimipalvelu ja VPN:n nimipalvelu ovat eri toimijoita, jolloin kyselyt jakautuvat kahtia eivätkä molemmat kulje tunnelissa.
• Vierasverkon kirjautumisportaali ohjaa kaikki nimikyselyt itselleen, mikä on tarpeen portaalin toiminnalle mutta rikkoo oletuksen tunnelista.

VPN:n todellinen suoja ja sen rajat on käsitelty erikseen artikkelissa VPN selitettynä rehellisesti. Tässä olennaista on vain se, että tunnelin olemassaolo ei todista nimikyselyiden kulkevan siinä. Julkisessa verkossa tämä on käytännössä merkityksellisin vuoto, koska silloin tarkkailija on lähellä ja tuntematon. Julkisen verkon todelliset riskit on eritelty artikkelissa julkinen wifi.

Näin testaat, mikä nimipalvelin on oikeasti käytössä

Testaus kannattaa tehdä kahdessa osassa: ensin katsotaan mitä laite luulee käyttävänsä, sitten mitä ulkopuolelta näkyy.

1. Katso laitteen oma tila. Windowsissa komento ipconfig /all listaa käytössä olevat nimipalvelimet, Linuxissa resolvectl status ja macOSissa scutil --dns.
2. Tee kysely käsin, esimerkiksi komennolla nslookup ja jollakin verkkotunnuksella. Vastauksen alussa näkyy, mikä palvelin vastasi.
3. Yhdistä VPN ja toista molemmat kohdat. Jos vastaava palvelin on yhä reitittimen tai operaattorin osoite, kyselyt eivät kulje tunnelissa.
4. Käytä lisäksi vuototestisivua, jos VPN-palvelusi tarjoaa sellaisen. Testisivu näkee vain sen palvelimen, joka kysyi sen puolesta, joten tulos kertoo reitin eikä henkilöä.
5. Muista, että komentorivin testi kertoo vain käyttöjärjestelmän tilanteen. Jos selaimessa on oma salattu nimipalvelu, selain voi käyttää täysin eri palvelinta kuin muu järjestelmä. Testaa selaimen asetussivulta erikseen.
6. Toista testi jokaisessa verkossa erikseen. Asetukset ovat usein verkkokohtaisia, joten kotona toimiva asetus ei välttämättä ole voimassa mobiiliverkossa tai vierailla wifi-verkoilla.

Jos huomaat vuodon, korjaus on yleensä yksinkertainen: aseta VPN käyttämään omia nimipalvelimiaan, poista jaettu tunnelointi käytöstä tai kytke selaimen oma salattu nimipalvelu pois, jotta koko laite käyttää samaa reittiä.

Kenelle luottamus siirtyy

Salattu nimipalvelu ei tee kyselyistä näkymättömiä. Se päättää, kuka ne näkee. Operaattorin sijasta lokia voi kerätä valitsemasi palveluntarjoaja, joka näkee sekä nimet että IP-osoitteesi eli riittävän yhdistelmän profiilin muodostamiseen. Tämä on aito valinta, ei tekninen automaatio, ja se kannattaa tehdä tietoisesti.

Kysy palveluntarjoajasta neljä asiaa: kuka sitä ylläpitää, missä maassa se toimii, mitä kyselyistä tallennetaan ja kuinka pitkäksi aikaa, ja millä rahalla toiminta pyörii. Suomalainen teleyritys on sidottu viestinnän luottamuksellisuutta koskevaan sääntelyyn ja on viranomaisvalvonnan piirissä. Ulkomainen nimipalvelu toimii oman maansa sääntöjen mukaan, mikä voi olla parempi tai huonompi asia tilanteesta riippuen. Yhtä oikeaa vastausta ei ole, ja tästä on alalla aitoa erimielisyyttä.

Kannattaa myös muistaa, mihin kysymys ei ulotu. Sivusto itse tietää joka tapauksessa, että kävit, ja kirjautuneena se tietää kuka olet. Selaimen tunnisteet toimivat riippumatta siitä, miten nimi ratkaistiin. Sitä puolta käsittelee artikkeli verkkoseuranta ilman evästeitä.

Mitä tästä kannattaa ottaa käyttöön

Järjestys on tärkeämpi kuin työkalujen määrä.

1. Ota salattu nimipalvelu käyttöön laitetasolla eikä vain selaimessa, jotta sama asetus koskee kaikkia ohjelmia.
2. Valitse palveluntarjoaja tietoisesti ja käytä samaa kaikilla laitteillasi.
3. Jos käytät VPN:ää, anna sen hoitaa nimikyselyt ja testaa asia kerran komentoriviltä.
4. Älä oleta, että salattu nimipalvelu piilottaa vierailut sivustolta itseltään, mainosverkoilta tai palvelulta, johon olet kirjautunut.
5. Muista, että yksityinen selaus ei liity tähän lainkaan. Se tyhjentää selaushistorian laitteelta eikä vaikuta siihen, mitä verkossa näkyy.

Realistinen lopputulos on tämä: salattu nimipalvelu poistaa yhden helpon ja laajan tarkkailupisteen, ja siihen se riittää hyvin. Se ei tee selailusta anonyymia, koska yhteyden avaus ja itse palvelu paljastavat kohteen joka tapauksessa. Hyvä syy ottaa se käyttöön on silti olemassa: se rajaa pois tilanteen, jossa jokainen avaamasi sivusto kirjautuu jonnekin ilman että olet valinnut minne.