DNS sobre TLS

DNS over TLS ( DoT ) es un protocolo de seguridad de red que cifra y encapsula las consultas y respuestas del Sistema de Nombres de Dominio (DNS) mediante el protocolo TLS ( Transport Layer Security ). El objetivo de este método es aumentar la privacidad y la seguridad del usuario, evitando la interceptación y manipulación de datos DNS mediante ataques de intermediario (man-in-the-middle) . El puerto más utilizado para DoT es el 853.

Aunque DNS sobre TLS es aplicable a cualquier transacción DNS, se estandarizó por primera vez para su uso entre resolvedores de reenvío o de redireccionamiento y resolvedores recursivos, en el RFC 7858 de mayo de 2016. Los esfuerzos posteriores del IETF especifican el uso de DoT entre servidores recursivos y autoritativos ("DNS autoritativo sobre TLS" o "ADoT") ^{[ 1 ]} y una implementación relacionada entre servidores autoritativos (Transferencia de zona sobre TLS o "xfr sobre TLS"). ^{[ 2 ]} 

BIND admite conexiones DoT desde la versión 9.17. ^{[ 3 ]} Las versiones anteriores ofrecían capacidad DoT mediante proxy a través de stunnel . ^{[ 4 ]} Unbound ha admitido DNS sobre TLS desde el 22 de enero de 2023. ^{[ 5 ] [ 6 ]} Unwind ha admitido DoT desde el 29 de enero de 2023. ^{[ 7 ] [ 8 ]} Con la compatibilidad de Android Pie con DNS sobre TLS, algunos bloqueadores de anuncios ahora admiten el uso del protocolo cifrado como una forma relativamente sencilla de acceder a sus servicios en comparación con cualquiera de los diversos métodos alternativos que se suelen utilizar, como VPN y servidores proxy.

Los clientes Android que ejecutan Android Pie o posterior admiten DNS sobre TLS y lo usarán de forma predeterminada si la infraestructura de red, por ejemplo el ISP , lo admite. ^{[ 9 ] [ 10 ]}

En abril de 2018, Google anunció que Android Pie incluiría soporte para DNS sobre TLS, ^{[ 11 ]} lo que permitiría a los usuarios configurar un servidor DNS para todo el teléfono tanto en conexiones Wi-Fi como móviles, una opción que históricamente solo era posible en dispositivos rooteados o mediante el uso de la API VPNService. DNSDist, de PowerDNS , también anunció soporte para DNS sobre TLS en la versión 1.3.0. ^{[ 12 ]}

Los usuarios de Linux y Windows pueden usar DNS sobre TLS como cliente a través del demonio stubby de NLnet Labs o Knot Resolver. ^{[ 13 ]} Alternativamente, pueden instalar getdns-utils ^{[ 14 ]} para usar DoT directamente con la herramienta getdns_query. El resolvedor DNS unbound de NLnet Labs también admite DNS sobre TLS. ^{[ 15 ]}

iOS 14 de Apple introdujo soporte a nivel de sistema operativo para DNS sobre TLS (y DNS sobre HTTPS). iOS no permite la configuración manual de servidores DoT y requiere el uso de una aplicación de terceros para realizar cambios de configuración. ^{[ 16 ]}

systemd-resolved es una implementación exclusiva de Linux que se puede configurar para usar DNS sobre TLS, editando /etc/systemd/resolved.confy habilitando la configuración DNSOverTLS. ^{[ 17 ] [ 18 ]} La mayoría de las principales distribuciones de Linux tienen systemd instalado por defecto. ^{[ 19 ]}

DNS sobre TLS fue implementado por primera vez en un resolvedor recursivo público por Quad9 en 2017. ^{[ 20 ] [ 21 ]} Otros operadores de resolvedores recursivos como Google y Cloudflare siguieron su ejemplo en los años siguientes, ^{[ 22 ] [ 23 ] [ 24 ]} y ahora es una característica ampliamente compatible generalmente disponible en la mayoría de los grandes resolvedores recursivos.

DoT puede impedir el análisis y la monitorización del tráfico DNS con fines de ciberseguridad. DoT se ha utilizado para eludir los controles parentales que operan a nivel DNS estándar (sin cifrar); sin embargo, existen proveedores de DNS que ofrecen filtrado y controles parentales junto con soporte para DoT y DoH. ^{[ 25 ]} En ese caso, las consultas DNS se comprueban con las listas de bloqueo una vez que las recibe el proveedor, en lugar de antes de que salgan del router del usuario.

Como ocurre con cualquier comunicación, el cifrado de las solicitudes DNS por sí solo no protege la privacidad. Protege contra observadores externos, pero no garantiza qué harán los servidores finales con los datos (una vez descifrados).

Los clientes DoT no necesariamente consultan directamente a ningún servidor de nombres autoritativo . El cliente puede depender del servidor DoT mediante consultas tradicionales (puerto 53 u 853) para finalmente comunicarse con los servidores autoritativos. Por lo tanto, DoT no se considera un protocolo cifrado de extremo a extremo , sino solo de salto a salto, y únicamente si se utiliza DNS sobre TLS de forma consistente.

DNS sobre HTTPS (DoH) es un protocolo estándar similar para cifrar las consultas DNS, diferenciándose únicamente de DoT en los métodos utilizados para el cifrado y la entrega. En cuanto a la privacidad y la seguridad, la existencia de un protocolo superior entre ambos es objeto de un debate controvertido, mientras que otros argumentan que las ventajas de cada uno dependen del caso de uso específico. ^{[ 26 ]}

DNSCrypt es otro protocolo de red que autentica y cifra el tráfico DNS, aunque nunca se propuso al Grupo de Trabajo de Ingeniería de Internet (IETF) mediante una Solicitud de Comentarios (RFC).

• Curva DNS

• RFC 7858 – Especificación para DNS sobre seguridad de la capa de transporte (TLS) 
• RFC 8310 – Perfiles de uso para DNS sobre TLS y DNS sobre DTLS 
• Proyecto de privacidad DNS: dnsprivacy.org