DNS over HTTPS y DNS over TLS: el DNS cifrado

DNS sobre HTTPS y DNS sobre TLS, conocidos por sus siglas como DoH y DoT respectivamente, son las dos formas principales de cifrar las consultas del sistema de nombres de dominio, con el objetivo de proteger la privacidad de la información sobre qué sitios se consultan. Para entenderlos hay que recordar qué hace el sistema de nombres de dominio, que es traducir los nombres de los sitios web, fáciles de recordar para las personas, en las direcciones de red que los dispositivos necesitan para conectarse. Cada vez que se visita una página, el equipo realiza primero una consulta de nombres para averiguar la dirección correspondiente al nombre del sitio. El problema es que el sistema de nombres tradicional realiza esa consulta sin cifrar, en claro, lo que significa que cualquiera que esté en el camino de la comunicación puede ver qué sitios se están consultando. Esto supone un agujero de privacidad, porque aunque después la navegación vaya cifrada mediante una conexión segura, que protege el contenido de lo que se ve, la consulta de nombres previa ya reveló a qué sitio se iba a conectar. El DNS cifrado, en sus formas DoH y DoT, cierra ese agujero cifrando también la consulta de nombres, de modo que nadie en el camino pueda ver qué sitios se consultan. Las dos formas se diferencian en cómo transportan y cifran esa consulta. DNS sobre TLS cifra las consultas utilizando el mismo mecanismo de cifrado que protege las conexiones seguras, y lo hace por un canal propio y reconocible, con su propio puerto dedicado, lo que hace que sea más fácil de identificar y gestionar en una red. DNS sobre HTTPS, en cambio, cifra las consultas escondiéndolas dentro del tráfico web cifrado normal, de manera que se mezclan con la navegación web habitual y resultan más difíciles de distinguir y de bloquear, lo que prioriza la privacidad y la resistencia a la censura. Ambos consiguen el mismo objetivo de cifrar la consulta de nombres, pero con filosofías distintas, siendo DoT más transparente y gestionable y DoH más orientado a la privacidad y más difícil de controlar. Hoy en día el DNS cifrado se puede activar con facilidad, ya que los navegadores modernos incluyen DoH, a menudo activado por defecto, los sistemas operativos lo soportan y algunos routers permiten cifrar el DNS de toda la red.

El sistema de nombres de dominio tradicional es un problema de privacidad porque realiza las consultas sin cifrar, en claro, lo que permite que cualquiera que esté en el camino de la comunicación vea la lista de sitios que se consultan, aunque la navegación posterior esté cifrada. Para entender la gravedad de este problema hay que comprender cómo encaja el sistema de nombres en el proceso de navegar. Cada vez que se visita una página web, lo primero que hace el equipo es realizar una consulta de nombres para traducir el nombre del sitio en su dirección de red, que es lo que realmente se necesita para establecer la conexión. Esa consulta, en el sistema tradicional, viaja sin cifrar, de modo que su contenido, es decir, el nombre del sitio que se quiere visitar, es visible para quien esté en el camino, como el proveedor de internet, el administrador de una red wifi pública o cualquiera que esté espiando el tráfico de la red. La consecuencia es un agujero de privacidad importante, y a menudo pasado por alto, porque aunque toda la navegación posterior vaya por una conexión segura y cifrada, que protege el contenido de lo que se ve dentro de los sitios, la consulta de nombres previa ya ha revelado a qué sitio se iba a conectar. Una analogía muy ilustrativa es la de enviar una carta en un sobre cerrado pero cantando en voz alta la dirección del destinatario antes de echarla al buzón: aunque el sobre esté cerrado y nadie pueda leer su contenido, todos los que están cerca han oído a dónde va dirigida. En internet, cantar la dirección equivale a que el proveedor y cualquiera en la red vean la lista de sitios que se visitan, aunque la conexión segura proteja lo que se hace dentro de ellos. Este problema es relevante porque, para muchas personas, la simple lista de sitios que se visitan es ya información privada y sensible, ya que puede revelar intereses, estado de salud, opiniones políticas, orientación y otros aspectos personales, con independencia de lo que se haga concretamente dentro de cada sitio. Por ello, aunque la adopción de las conexiones seguras cerró el problema de proteger el contenido de la navegación, quedaba abierto este otro agujero de las consultas de nombres sin cifrar, que es precisamente el que viene a cerrar el DNS cifrado en sus formas DoH y DoT, haciendo que la dirección viaje también dentro de un sobre para que nadie en el camino pueda verla.

DoH y DoT se diferencian en la forma en que transportan y ocultan las consultas de nombres cifradas, ya que DNS sobre TLS utiliza un canal propio y reconocible con su puerto dedicado, mientras que DNS sobre HTTPS esconde las consultas dentro del tráfico web cifrado normal, lo que tiene consecuencias prácticas en cuanto a la gestión de la red y la privacidad. Ambos consiguen el mismo objetivo fundamental, que es cifrar las consultas de nombres para que nadie en el camino pueda ver qué sitios se consultan, pero lo hacen con filosofías distintas. DNS sobre TLS cifra las consultas utilizando el mecanismo de cifrado de las conexiones seguras y las envía por un canal propio y reconocible, con su propio puerto específico dedicado al DNS cifrado. Esto significa que ese tráfico es identificable como lo que es, tráfico DNS cifrado, de modo que un administrador de red puede verlo y gestionarlo, permitiéndolo, bloqueándolo o redirigiéndolo según sus políticas. Por ello, DoT es más transparente y encaja mejor en las redes gestionadas, donde interesa tener visibilidad y control sobre el tráfico. DNS sobre HTTPS, en cambio, esconde las consultas de nombres dentro del tráfico web cifrado normal, mezclándolas con la navegación web corriente, de manera que resultan indistinguibles del resto del tráfico web. Esto hace que DoH sea mucho más difícil de detectar y de bloquear, lo que prioriza la privacidad del usuario y la resistencia frente a la censura o el bloqueo, ya que quien quisiera impedir o vigilar el uso del DNS cifrado no puede distinguirlo fácilmente del tráfico web legítimo. La contrapartida de DoH es que dificulta el control legítimo de una red, porque un administrador tiene más difícil ver qué DNS se está utilizando, lo que ha generado cierto debate, ya que DoH es excelente para la privacidad del usuario pero le resta visibilidad al administrador de la red. En la práctica, para un usuario doméstico que busca proteger su privacidad frente a su proveedor de internet o en una red wifi pública, ambas opciones sirven para cifrar las consultas, y la elección puede depender del contexto. DoH es la forma que traen activada por defecto la mayoría de los navegadores modernos, mientras que DoT es más habitual en configuraciones a nivel de sistema o de red gestionada. En resumen, la diferencia clave es que DoT usa un canal propio reconocible y gestionable, mientras que DoH se camufla en el tráfico web para maximizar la privacidad y la resistencia al bloqueo.

No, el DNS cifrado no hace anónimo al usuario, ya que protege las consultas de nombres frente a quienes espían el camino de la comunicación, pero no oculta esas consultas al servidor de nombres que las responde ni proporciona anonimato general en internet, por lo que es importante tener expectativas realistas sobre lo que aporta. El DNS cifrado, en sus formas DoH y DoT, cumple una función concreta y valiosa, que es cifrar las consultas de nombres para que nadie que esté en medio del camino, como el proveedor de internet o alguien en una red wifi pública, pueda ver qué sitios se están consultando. Sin embargo, tiene un límite fundamental que conviene comprender bien. El servidor de nombres al que se dirigen las consultas, conocido como resolutor, sí ve esas consultas, porque es precisamente quien tiene que responderlas indicando la dirección correspondiente a cada nombre. Dicho de otro modo, el DNS cifrado protege la consulta frente a terceros que espían el camino, pero hacia el resolutor la consulta es necesariamente visible, ya que de lo contrario este no podría responderla. Esto significa que el DNS cifrado no elimina la confianza, sino que la traslada del camino al resolutor, ya que ahora es el servidor de nombres elegido quien conoce la lista de sitios que se consultan. De ahí se derivan dos implicaciones importantes. La primera es que elegir bien el resolutor resulta clave, porque se le está confiando información sensible sobre los sitios que se visitan, por lo que conviene utilizar un servidor que tenga una política de privacidad seria, que no registre ni comercialice las consultas. La segunda es que, si se usa el DNS cifrado de un navegador, puede que se estén enviando las consultas a un resolutor distinto del que usa el resto del sistema, a veces sin que el usuario sea consciente de ello, por lo que es recomendable saber a quién se le está preguntando. Más allá de esto, el DNS cifrado no proporciona anonimato general en internet, ya que no oculta la dirección de red del usuario ante los sitios que visita ni cifra otros aspectos de la conexión más allá de las consultas de nombres, para lo cual harían falta otras herramientas. En definitiva, el DNS cifrado es una mejora real y recomendable de la privacidad que cierra el agujero de las consultas de nombres en claro, pero debe entenderse como una pieza dentro de una estrategia más amplia de privacidad, y no como una solución que por sí sola proporcione anonimato.

El DNS cifrado se puede activar hoy en día con facilidad en varios niveles distintos, que se diferencian por su alcance, siendo los principales el navegador, el sistema operativo y el router, y la elección del nivel depende de si se quiere proteger un solo navegador, todo un equipo o toda la red. El primer nivel es el navegador, que es la forma más sencilla y accesible. Los navegadores modernos incorporan la opción de DNS sobre HTTPS, a menudo ya activada por defecto o fácilmente activable en sus ajustes de privacidad y seguridad, y su alcance se limita al tráfico de ese navegador concreto, cifrando las consultas de nombres que este realiza. Es una opción cómoda para quien quiere proteger su navegación web principal sin configurar nada más, aunque hay que tener en cuenta que no afecta al resto de aplicaciones del equipo ni a otros navegadores. El segundo nivel es el sistema operativo, que permite cifrar el DNS de todo el equipo y, por tanto, de todas las aplicaciones que se ejecutan en él, no solo del navegador. Los sistemas operativos modernos soportan el DNS cifrado y permiten configurarlo en sus ajustes de red, lo que proporciona una protección más amplia y coherente a nivel de todo el dispositivo. El tercer nivel es el router, que permite cifrar el DNS de toda la red, de manera que todos los dispositivos conectados a ella se benefician de la protección sin necesidad de configurarlos individualmente. Algunos routers, especialmente los más avanzados o con firmware alternativo, permiten configurar el DNS cifrado para toda la red, lo que resulta muy práctico en un hogar o una pequeña oficina con muchos dispositivos. Al activar el DNS cifrado, en cualquiera de estos niveles, normalmente hay que elegir el servidor de nombres o resolutor que se va a utilizar, y aquí es importante seleccionar uno que tenga una buena política de privacidad, ya que ese servidor verá las consultas. Un detalle a tener en cuenta es que si se activa el DNS cifrado en varios niveles a la vez, o si el navegador usa uno distinto del sistema, puede haber cierta descoordinación sobre qué resolutor se está usando realmente, por lo que conviene tener claro en qué nivel se está configurando y a qué servidor se están enviando las consultas. En general, para un usuario doméstico, activar el DNS sobre HTTPS en el navegador es la opción más sencilla para empezar, mientras que configurarlo a nivel de sistema o de router ofrece una protección más completa para todos los dispositivos y aplicaciones.

Sí, el DNS cifrado, pese a sus ventajas de privacidad, puede causar algunos problemas o inconvenientes en ciertos contextos, principalmente relacionados con la gestión de las redes, los filtros legítimos y la coordinación entre distintos niveles de configuración, por lo que conviene conocerlos para usarlo de forma adecuada. El primer inconveniente tiene que ver con los filtros y controles de red legítimos. Muchas redes utilizan el sistema de nombres para aplicar filtros útiles, como los controles parentales que bloquean el acceso a determinados sitios, los filtros de contenido en entornos educativos o laborales, o el bloqueo de sitios maliciosos a nivel de red. Cuando un navegador activa por su cuenta el DNS cifrado, especialmente en su forma que se esconde en el tráfico web, puede saltarse estos filtros basados en el DNS de la red, ya que las consultas de nombres dejan de pasar por el resolutor de la red que aplica el filtrado y van directamente a otro resolutor cifrado. Esto puede hacer que dejen de funcionar controles parentales o de seguridad que se daban por supuestos, lo que en algunos casos es un problema. El segundo inconveniente afecta a los administradores de redes gestionadas, que pueden perder visibilidad y control sobre el tráfico de nombres, especialmente con la forma de DNS cifrado que se camufla en el tráfico web, lo que dificulta la aplicación de políticas de red y la resolución de problemas. El tercer inconveniente es la posible descoordinación entre niveles de configuración, ya que si el navegador usa un DNS cifrado propio distinto del que usa el sistema operativo o la red, puede haber confusión sobre qué resolutor se está utilizando realmente y a quién se están enviando las consultas, e incluso comportamientos inesperados si distintas aplicaciones usan distintos servidores de nombres. Además, en algunos entornos corporativos o redes con configuraciones específicas, el DNS cifrado activado sin coordinación puede provocar que no se resuelvan correctamente ciertos nombres internos de la red, que dependen del resolutor local. Por último, conviene recordar que el DNS cifrado no resuelve los problemas de resolución de nombres, que son una cuestión distinta, sino que se ocupa de la privacidad, por lo que no debe esperarse que solucione errores de conexión relacionados con el DNS. En resumen, el DNS cifrado es una mejora valiosa de privacidad, pero conviene activarlo siendo consciente de estos posibles efectos, especialmente en redes con filtros legítimos o gestionadas, y coordinando adecuadamente la configuración para evitar comportamientos inesperados.