Con el objetivo de proteger nuestra privacidad y seguridad en Internet, han aparecido recientemente una gran cantidad de servidores DNS con soporte para DNS over HTTPS, y también DNS over TLS. Ambos protocolos los utilizan los «grandes» de Internet como Google o Cloudflare, para que sus clientes estén seguros, sin embargo, en el caso de Google sí guardan registros o logs de las peticiones realizadas. Hoy en RedesZone os vamos a hacer una serie de recomendaciones de servidores DNS que prometen seguir una política sin registros o logs.
¿Qué es DNS over TLS?
DNS over TLS es un protocolo seguro que utiliza el protocolo TLS para dotar de seguridad al protocolo DNS, tanto a la hora de realizar las solicitudes como las respuestas. El protocolo DNS es un protocolo inseguro por definición, todo el tráfico de datos, tanto las solicitudes como las respuestas se realizan a través del puerto 53 UDP sin ningún tipo de cifrado ni autenticación, por lo que cualquier atacante podría capturar las respuestas y enviarnos a unos servidores maliciosos para infectar con malware. También debemos tener en cuenta que cualquier persona que haga un ataque Man in the Middle podría saber qué webs estamos visitando, e incluso el propio operador de Internet podría saberlo aunque no utilicemos sus servidores DNS, ya que todo el tráfico está totalmente en claro, sin ningún cifrado.
DNS over TLS nació para solucionar el problema de la privacidad a la hora de utilizar el protocolo DNS, este protocolo consiste en establecer una conexión TLS haciendo uso del puerto 853 y el protocolo TCP para establecer la conexión, una vez que se ha establecido la conexión segura, entonces empezarán a intercambiarse los datos a través del canal seguro, tanto las solicitudes como las respuestas. El protocolo DNS over TLS (DoT) es usado por los «grandes» de Internet como Google o Cloudflare entre otros muchos, sin embargo, debemos tener en cuenta que Google guarda un completo registro de todas las solicitudes y respuestas que se realizan. En el caso de Cloudflare, ellos prometen que no guardan ningún dato personal, y que en caso de necesitar algún dato recopilado por el uso, es eliminado tras un breve corto periodo de tiempo.
No obstante, existen varios servidores DNS públicos, es decir, podemos utilizar todos nosotros de forma completamente gratuita y sin límites, que no guardan ningún registro o logs en sus sistemas, por lo que tendremos una privacidad adicional, ya que nos garantizan que no guardan ninguna información. Hoy en día cuando vamos a usar un servicio de DoT debemos fijarnos muy bien si soporta redes IPv4 y también redes IPv6, porque si nuestro operador nos proporciona direccionamiento IPv6 no vamos a poder usar servidores DNS con IPv4. El puerto de cualquier servidor DoT es el 853 TCP, por lo que deberíamos permitir el tráfico de salida a través de este puerto. Por último, también necesitamos un «Host TLS», es decir, la dirección o dominio que nos va a proporcionar el servicio de DNS seguro con el protocolo DoT, sin este Host TLS no podemos establecer una conexión y empezar a resolver dominios.
¿Cómo se hace para poder resolver el dominio del Host TLS si necesitamos un servidor DNS para ello? La primera resolución DNS se hace uso del protocolo DNS sin cifrar, el protocolo de siempre que usa el puerto 53 UDP, ya sea usando los populares de Google o cualquier otros, y después de esta primera resolución DNS, el cliente DoT se encargará de enviar y recibir toda la información completamente cifrada y autenticada, para tener la mejor seguridad posible.
¿Son peligrosos los DNS sin registros?
Como el propio nombre indica, estos DNS no mantienen ningún tipo de registro sobre las consultas que se realizan por parte de los usuarios. Estos servidores, son muy populares por su capacidad para proteger la privacidad de todos los usuarios, ya que no mantienen esos registros de actividad en línea. En cambio, si debemos tener algunas consideraciones en cuanto a la seguridad. Y lo primero siempre será el saber que estos, pueden ser utilizados por ciberdelincuentes para llevar a cabo sus actividades maliciosas. Estos utilizan estos medios para evitar ser detectados, y poder someter a otros usuarios a ataques de phishing, distribución de malware, y la realización de ataques DDoS.
Por otro lado, incluso con la privacidad que estos servidores nos proporcionan, se pueden utilizar por los gobiernos más autoritarios para establecer censuras. Así como para realizar un control sobre el acceso a internet. Estos pueden utilizar estos servidores, para establecer bloqueos a los sitios web y servicios online, los cuales consideran que son inapropiados o peligrosos. Estos servidores, en ocasiones también pueden ser un poco más inestables y tener un rendimiento más bajo. Esto se debe a que los servidores al no mantener los registros de las consultas, se pueden ver comprometidos a ataques de saturación, así como de sobrecarga para que los usuarios que los utilizan tengan problemas de conexión que se traducen en lentitud, o interrupciones.
Por lo cual, realmente son una opción muy atractiva para los usuarios que buscan ese plus de privacidad en línea, pero debemos ser conscientes de los riesgos para los que buscan comprometer los datos de otros usuarios. Ya que como comentamos, son muy utilizados por ciberdelincuentes para llevar a cabo sus actividades maliciosas. Como cualquier otra tecnología, es importante investigar y entender todos los riesgos que beneficios que nos da utilizar cierto servicio. De este modo, nos podremos anticipar un poco a los problemas.
DNS privados sin ningún registro
En la página web DNS Privacy han publicado un listado con los principales servidores DNS gratuitos que utilizan una política sin registros o logs, fundamental para proteger al máximo nuestra privacidad en Internet.
UncensoredDNS
Estas DNS las gestiona un informático danés, que promete que con ellas no tendremos ningún tipo de censura en el acceso de ninguna página web. Las direcciones IP para que las podáis utilizar son los siguientes:
- IPv4: 89.233.43.71
- IPv6: 2a01:3a0:53:53::0
- Puerto TLS: 853
- Host TLS: unicast.censurfridns.dk
Tal y como podéis ver, este servidor DNS utiliza el protocolo DNS over TLS para proteger punto a punto todas las peticiones realizadas. El servidor DNS, está alojado en Copenhague, Dinamarca. Si queréis más información sobre estas DNS podéis consultar su web oficial en el siguiente enlace.
Surfnet
Si estáis buscando un servidor DNS que tenga soporte para DNS over TLS con el protocolo TLS 1.3 y 1.2, os recomendamos Surfnet. Surfnet dispone de diferentes servidores DNS con cada uno unas características únicas. En este caso si lo que buscáis es seguridad, os recomendamos que uséis las siguientes direcciones IP para DNS.
Servidor que utiliza TLS 1.3:
- IPv4: 145.100.185.18
- IPv6: 2001:610:1:40ba:145:100:185:18
- Puerto TLS: 853
- Host TLS: dnsovertls3.sinodun.com
Servidor que utiliza TLS 1.2:
- IPv4: 145.100.185.17
- IPv6: 2001:610:1:40ba:145:100:185:17
- Puerto TLS: 853
- Host TLS: dnsovertls2.sinodun.com
dns.233py.com
Si buscáis servidores DNS ubicados en China, sobre todo para web alojadas ahí, los mejores servidores que podéis usar son los siguientes:
Servidor ubicado en Shanghái:
- IPv4: 47.101.136.37/edns.233py.com
Servidor ubicado en Chongqing:
- IPv4: 118.24.208.197/wdns.233py.com
Servidor ubicado en Beijing:
- IPv4: 114.115.240.175/ndns.233py.com
Servidor ubicado en Guangzhou:
- IPv4: 119.29.107.85/sdns.233py.com
Puerto TLS: 853
El Host TLS para todos los servidores es el siguiente: dns.233py-com
Secure DNS Project by PumpleX
Si buscáis un servidor DNS enfocado a la seguridad os recomendamos OSZX DNS. Este servidor utiliza para el envío de datos el protocolo DNS over TLS, y también DNS over HTTPS, y, además, tiene un servicio de prevención de spoofing para evitar el envenenamiento de las DNS. Sin lugar a dudas, uno de los más seguros. Si queréis usar este servidor debéis usar las siguientes direcciones IP para las DNS:
- IPv4: 51.38.83.141
- IPv6: 2001:41d0:801:2000::d64
- Puerto TLS: 853
- Host TLS: dns.oszx.co
Podéis encontrar más información sobre este servidor DNS en el siguiente enlace.
DNS Warden
Si buscáis un servidor DNS que bloquee los anuncios y rastreadores, además de avisarte si el dominio está mal, debéis usar los servidores DNS de Warden. Dispone de 2 servidores DNS, ambos utilizan el protocolo DNS over TLS para proporcionar confidencialidad punto a punto.
Para utilizar el servidor primario, debéis introducir los siguientes datos:
- IPv4: 116.203.70.156
- IPv6: 2a01:4f8:1c1c:75b4::1
- Puerto TLS: 853
- Host TLS: dot1.dnswarden.com
Para utilizar el servidor secundario, debéis introducir los siguientes datos:
- IPv4: 116.203.35.255
- IPv6: 2a01:4f8:1c1c:5e77::1
- Puerto TLS: 853
- Host TLS: dot2.dnswarden.com
SecureDNS.eu
SecureDNS son unas DNS pensadas también en la seguridad que tienen como añadido que son compatibles con TLD.
- IPv4: 146.185.167.43
- IPv6: 2a03:b0c0:0:1010::e9a:3001
- Puerto TLS: 853
- Host TLS: dot.securedns.eu
Actualmente existen otros servidores DNS con políticas de no-registros, pero están enfocados en determinados países, y no de manera global, por lo que la latencia que tendríamos es elevada y no es recomendable su uso desde España. Os recomendamos visitar la web de DNS Privacy donde encontraréis recomendaciones para usar siempre los mejores servidores DNS.