Cloudflare, Apple y Fastly dividen el conocimiento del DNS con un proxy para que nadie vea quién preguntó

Dan Goodin, de Ars Technica, informó que Cloudflare, Apple y la red de distribución de contenidos Fastly presentaron Oblivious DNS over HTTPS (ODoH), un cambio en el sistema de nombres de dominio destinado a impedir que los proveedores y los fisgones vean qué direcciones visitan los usuarios. DNS over HTTPS y DNS over TLS ya cifran las consultas, pero un pequeño grupo de proveedores aún puede registrar el uso de Internet de potencialmente miles de millones de personas. Como el proveedor ve tanto la consulta como la dirección IP del equipo que la realiza, todavía puede elaborar perfiles exhaustivos.

ODoH coloca un proxy de red entre los usuarios y el resolutor DNS. El cliente cifra su consulta para el resolutor de destino mediante HPKE, con la clave pública del destino obtenida a través de DNS. El proxy reenvía la consulta cifrada y no puede leerla. El destino la descifra, responde y cifra la respuesta, que regresa a través del proxy. Solo el usuario tiene acceso tanto a la solicitud como a la dirección IP que la envió.

Cloudflare informó que, en un estudio, la sobrecarga adicional de ODoH frente a una consulta DoH con proxy fue inferior a 1 milisegundo en el percentil 99. Las empresas colaboraron con el Internet Engineering Task Force para avanzar hacia un estándar de la industria.

Cifrar la consulta dirigida al resolutor y retransmitirla a través de un proxy, de modo que ninguna parte llegue a tener a la vez los sitios que visita un usuario y quién es.

DoH y DoT protegen contra los fisgones de la red, pero no contra el propio resolutor.

Pocos proveedores ofrecen DNS cifrado, lo que concentra en ellos el riesgo para la privacidad.

Un proxy que no puede descifrar y un resolutor que no puede ver la dirección del cliente mantienen separados ambos datos.

Los mensajes permanecen cifrados de extremo a extremo aunque atraviesan dos conexiones HTTPS distintas.

Si no se puede confiar a una sola parte dos datos vinculados, conviene repartir esos datos entre dos partes para que ninguna pueda unirlos.

Ars describió ODoH como un trabajo en curso a finales de 2020: todavía se estaban midiendo los costos de rendimiento del proxy y del cifrado, Firefox y otros habían mostrado interés, y Google y Microsoft estaban ausentes. Señaló que la ausencia de estos actores sugería que al protocolo le quedaba un largo camino por recorrer.