Cloudflare、Apple 與 Fastly 以代理拆分 DNS 知識，讓無人得知查詢者身分

Ars Technica 的 Dan Goodin 報導，Cloudflare、Apple 與內容傳遞網路 Fastly 推出了 Oblivious DNS over HTTPS（ODoH），這是對網域名稱系統的一項變更，旨在阻止服務供應商與窺探者得知使用者造訪哪些位址。DNS over HTTPS 與 DNS over TLS 已能加密查詢，但為數不多的供應商仍可記錄潛在數十億人的網際網路使用情形。由於供應商同時看得到查詢與發出查詢之電腦的 IP 位址，因此仍能建立詳盡的個人輪廓。

ODoH 在使用者與 DNS 解析器之間置入網路代理。用戶端以 HPKE 為目標解析器加密其查詢，目標的公開金鑰則透過 DNS 取得。代理轉送加密查詢而無法讀取其內容。目標解密查詢、作答並加密回應，回應再經由代理傳回。只有使用者同時掌握請求與送出請求的 IP 位址。

Cloudflare 表示，在一項研究中，ODoH 相較於經代理的 DoH 查詢，其額外負擔在第 99 百分位數下不到 1 毫秒。這些公司與網際網路工程任務組合作，推動成為業界標準。

將查詢加密後送往解析器，並透過代理轉送，使任何單一一方都無法同時掌握使用者造訪的網站與其身分。

DoH 與 DoT 能防範網路窺探，卻防不了解析器本身。

提供加密 DNS 的供應商很少，使隱私風險集中於它們身上。

無法解密的代理與看不到用戶端位址的解析器，讓這兩項事實彼此分離。

訊息雖然跨越兩條獨立的 HTTPS 連線，仍維持端對端加密。

若不能將兩項相互連結的事實託付給同一方，就把這些事實分給兩方，使任何一方都無法將其拼湊起來。

Ars 在 2020 年底將 ODoH 描述為仍在進行中的工作：代理與加密的效能成本仍在測量，Firefox 等已表達興趣，而 Google 與 Microsoft 則缺席。報導指出，這些要角的缺席意味著該協定還有很長的路要走。