DNS-over-HTTPS (DoH) ve DNS-over-TLS (DoT): Şifreli DNS Protokolleri

Alan adı sistemi (DNS), internet üzerindeki iletişimin ilk adımını oluşturur; bir alan adının hangi IP adresine karşılık geldiğini çözümleyerek tarayıcıların, uygulamaların ve sunucuların birbirini bulmasını sağlar. Geleneksel DNS sorguları uzun yıllar boyunca şifrelenmemiş biçimde, çoğunlukla 53 numaralı bağlantı noktası üzerinden açık metin olarak iletilmiştir. Bu yapı, sorguların ağ üzerindeki ara noktalar tarafından okunabilmesi, kayıt altına alınabilmesi ve belirli koşullarda değiştirilebilmesi sonucunu doğurur. DNS-over-HTTPS (DoH) ve DNS-over-TLS (DoT), söz konusu açıklığı gidermek amacıyla geliştirilen ve DNS trafiğini taşıma katmanında koruma altına alan iki ayrı protokol yaklaşımıdır.

Şifrelenmemiş DNS Sorgularının Doğurduğu Riskler

Klasik DNS, tasarım gereği kimlik doğrulama ve gizlilik mekanizmaları içermez. Sorgu ve yanıt paketleri ağ üzerinde düz metin olarak ilerlediğinden, aynı yerel ağda bulunan bir cihaz ya da trafiğin geçtiği bir ara düğüm, hangi alan adlarının çözümlendiğini gözlemleyebilir. Bu gözlem tek başına bir güvenlik ihlali oluşturmasa da kullanıcı davranışına ilişkin ayrıntılı bir profil çıkarılmasına imkân tanır. Daha ciddi bir sorun, yanıtların üçüncü taraflarca taklit edilebilmesidir; saldırgan, meşru bir çözümleyiciden geliyormuş gibi görünen sahte bir yanıt üreterek kullanıcıyı farklı bir sunucuya yönlendirebilir.

• Ara noktalarda pasif dinleme ve sorgu kaydı oluşturma.
• Yanıt taklidi (spoofing) ve yönlendirme saldırıları.
• Önbellek zehirleme yoluyla geniş kapsamlı etki.
• Ağ sağlayıcısı veya yerel yönetici düzeyinde içerik müdahalesi.
• Kullanıcıların hangi hizmet ve sitelere eriştiğine dair trafik profilleme.

DNS-over-HTTPS (DoH) Çalışma Prensibi

DoH, DNS mesajlarının HTTPS üzerinden taşınmasını tanımlayan bir standarttır ve teknik ayrıntıları RFC 8484 dokümanında belirtilmiştir. Bu yaklaşımda sorgu, HTTP gövdesine ikili biçimde yerleştirilir ve application/dns-message içerik türü ile gönderilir. Taşıma katmanı olarak HTTP/2 desteklenir; böylece çok sayıda sorgu tek bir bağlantı üzerinden eşzamanlı olarak iletilebilir. Uç nokta genellikle 443 numaralı bağlantı noktasında, tanımlı bir yol altında hizmet verir.

DoH'un ayırt edici yönü, DNS trafiğinin sıradan web trafiğiyle aynı kanalı ve aynı bağlantı noktasını paylaşmasıdır. Şifreli oturum içinde gönderilen istekler, ağ üzerinde diğer HTTPS isteklerinden içerik olarak ayrıştırılamaz. Bu durum, ağ yöneticilerinin DNS trafiğini bağlantı noktası veya protokol imzası üzerinden ayırmasını zorlaştırır. Sorgular hem GET hem de POST yöntemiyle iletilebilir; GET kullanıldığında ikili verinin kodlanması gerekir ve bu yöntemde isteklerin önbelleklenebilirliği ile gizlilik arasında bir denge kurulması gerekir.

DNS-over-TLS (DoT) Çalışma Prensibi

DoT, DNS trafiğini TLS tünellemesi içinde taşıyan ve RFC 7858 ile RFC 8310 dokümanlarında tanımlanan bir protokoldür. DoH'tan farklı olarak DNS, kendisine ayrılmış 853 numaralı bağlantı noktası üzerinden ve uzun ömürlü TLS oturumları biçiminde iletilir. İstemci ile çözümleyici arasında kurulan şifreli kanal, oturum süresince açık kalabilir ve ardışık sorgular aynı kanal üzerinden gönderilebilir.

DoT tasarımında, çözümleyicinin kimliğinin bağlantı kurulmadan önce doğrulanması beklenir. Sunucu tarafındaki sertifika, istemcinin güvendiği bir sertifika otoritesi zinciriyle eşleşmiyorsa bağlantı reddedilir. Sabitlenmiş sertifika ya da önceden paylaşılan kimlik bilgisi kullanımı da mümkündür. Ayrı bir bağlantı noktası kullanılması, DoT trafiğinin ağ cihazları tarafından kolayca tanınmasını sağlar; bu özellik kurumsal ağlarda izleme ve filtreleme açısından belirgin bir fark yaratır.

DoH ile DoT Arasındaki Ayrım Noktaları

• Bağlantı noktası: DoH, HTTPS ile aynı olan 443 numaralı noktayı kullanır; DoT ise 853 numaralı noktaya ayrılmıştır.
• Görünürlük: DoT trafiği protokol düzeyinde tanınabilirken DoH trafiği diğer web trafiğinden ayırt edilemez.
• Taşıma katmanı: DoH, HTTP/2 gibi bir uygulama katmanı protokolüne dayanır; DoT doğrudan TLS üzerinde çalışır.
• Bağlantı yönetimi: DoH'ta istek-yanıt akışı HTTP semantiğine bağlıdır; DoT'ta uzun ömürlü tek bir tünel üzerinden çok sayıda sorgu iletilir.
• Uygulama erişilebilirliği: DoH, web uygulamaları ve tarayıcılar içinden kolayca kullanılabilir; DoT genellikle işletim sistemi veya yerel çözümleyici düzeyinde devreye alınır.

Şifreli DNS'in Gizlilik ve Güvenlik Kazanımları

Ara Noktaların Görünürlüğünün Azalması

TLS şifrelemesi sayesinde sorgu içeriği, istemci ile çözümleyici arasındaki ara düğümler tarafından okunamaz. Yerel ağdaki cihazlar, erişim noktaları veya taşıma sağlayıcıları yalnızca şifreli bir oturumun varlığını görür; sorgulanan alan adı ve dönen kayıt bu katmanda görünmez. Bu durum, kullanıcı etkinliğinin ağ düzeyinde izlenmesini ve profillenmesini zorlaştırır.

Yanıt Bütünlüğünün Korunması

TLS, mesaj bütünlüğünü kriptografik olarak doğrular. Araya giren bir taraf, şifreli oturumun içindeki yanıtı değiştiremez; değişiklik girişimi bağlantının başarısız olmasına yol açar. Böylece yanıt taklidi ve yönlendirme saldırılarının etkisi önemli ölçüde sınırlanır. Bu koruma, alan adı sistemi güvenlik uzantılarıyla (DNSSEC) birlikte kullanıldığında kayıtların kaynağının doğrulanması ayrıca sağlanabilir.

Mobil ve Ortak Ağlarda Dayanıklılık

Halka açık kablosuz ağlar, otel ve havaalanı bağlantıları ile paylaşımlı ortamlarda DNS trafiği geleneksel olarak müdahaleye daha açıktır. Şifreli DNS kullanımı, bu ortamlarda sorguların okunmasını ve yanıtların değiştirilmesini engelleyerek daha öngörülebilir bir çözümleme davranışı sağlar.

Yapılandırma Yöntemleri

İşletim Sistemi Düzeyinde Yapılandırma

Modern işletim sistemleri, ağ ayarları içinde şifreli DNS seçenekleri sunar. Bu ayarlarda çözümleyicinin şifreli bir uç noktası tanımlanır ve tüm sistem sorguları bu uç nokta üzerinden yönlendirilir. Bazı sistemler yalnızca DoT biçimindeki özel DNS ayarını desteklerken, diğerleri DoH uç noktası ile birlikte şablon tabanlı bir tanımlamaya izin verir. Yapılandırma sırasında uç nokta adresinin yanı sıra sertifika doğrulamasının etkin olduğundan emin olunması gerekir.

Web Tarayıcılarında Yapılandırma

Yaygın web tarayıcıları, güvenli DNS özelliğini ayarlar menüsünden açıp kapatmaya imkân tanır. Tarayıcı düzeyindeki bu ayar, yalnızca tarayıcı içinde yapılan sorguları kapsar; işletim sisteminin genel DNS davranışını değiştirmez. Bu nedenle tarayıcı üzerinden şifreli DNS kullanılırken diğer uygulamaların sorgularının hangi kanaldan gittiği ayrıca değerlendirilmelidir.

Yönlendirici ve Yerel Ağ Düzeyinde Yapılandırma

Yerel ağ düzeyinde şifreli DNS, yönlendirici üzerinde çalışan bir iletici ya da yerel bir çözümleyici aracılığıyla kurulabilir. Bu yaklaşımda ağ içindeki cihazlar şifrelenmemiş sorgularını yerel çözümleyiciye iletir; yerel çözümleyici ise bu sorguları DoH veya DoT üzerinden dış çözümleyiciye taşır. Böylece şifreleme, ağ sınırından dışarıya doğru sağlanır ve yönetimi merkezîleşir. Uygulamada, önbellekleme, yedek çözümleyici tanımı ve hata durumunda davranış gibi parametrelerin açıkça yapılandırılması gerekir.

Sunucu ve Barındırma Ortamlarında

Sunucular ve barındırma ortamlarında şifreli DNS, giden trafiğin güvenli biçimde çözümlenmesi ve hizmetlerin güvenilir kayıtlara ulaşması amacıyla kullanılır. Yapılandırma sırasında güvenlik duvarı kurallarının 853 ve 443 numaralı bağlantı noktalarına giden trafiğe izin verdiğinden emin olunmalıdır. Ayrıca yerel isim çözümleme kuralları ile dış çözümleyici arasındaki öncelik sırası belgelenmeli, böylece iç kayıtların beklenmedik biçimde dışarıya sorgulanması önlenmelidir.

Kurumsal Kullanımda Değerlendirilmesi Gereken Hususlar

• İç ağa özel alan adlarının yalnızca kurum içi çözümleyiciler tarafından yanıtlanması ve dışarıya sızmasının engellenmesi.
• Şifreli DNS trafiğinin güvenlik duvarı ve izleme sistemlerinde nasıl ele alınacağının tanımlanması.
• Yedek çözümleyici ve önyükleme (bootstrap) adreslerinin yapılandırılması.
• Uç nokta sertifikalarının doğrulanması ve güven zincirinin denetlenmesi.
• Uyumluluk ve kayıt tutma gereksinimleriyle şifreli DNS kullanımının uyumlu hâle getirilmesi.
• İstemci cihazların merkezî yönetim araçlarıyla tutarlı biçimde yapılandırılması.

Şifreli DNS'in Sınırları

Şifreli DNS, sorgu içeriğini ara noktalardan korur; ancak tüm gizlilik sorunlarını ortadan kaldırmaz. Sorguyu yanıtlayan çözümleyici, hangi alan adlarının istendiğini doğal olarak görür. HTTPS trafiğinde sunucu adı göstergesi gibi alanlar şifrelenmemiş olabileceğinden, hedef sunucu bilgisi farklı katmanlarda görünür kalabilir. Ayrıca istemci ile çözümleyici arasındaki IP adresleri ve trafik hacmi gibi üst veriler, bağlantı desenlerine ilişkin çıkarımlar yapılmasına imkân tanır.

Bu sınırlamaları azaltmaya yönelik ek yaklaşımlar da geliştirilmiştir. Çözümleyici ile yanıtlayıcı arasındaki ilişkiyi ayrıştırmayı hedefleyen yöntemler, sorgunun kim tarafından yapıldığının çözümleyici tarafından bile doğrudan bilinmemesini amaçlar. Benzer biçimde, sorguların bir aktarma katmanı üzerinden iletilmesi ve erişim sağlayıcı düzeyinde filtreleme yapan DNS hizmetleri de teknik olarak bu alanda değerlendirilir. Tüm bu yaklaşımlar, şifreli DNS'i tamamlayıcı niteliktedir; tek başına her senaryoda eksiksiz bir gizlilik güvencesi sunmaz.