DNS over HTTPS và cách bảo mật truy vấn tên miền của bạn

DNS over HTTPS (DoH) là cách gửi truy vấn tên miền qua kết nối HTTPS được mã hóa, thay vì gửi dạng rõ như DNS truyền thống. Nhờ vậy, người ở giữa đường truyền như mạng Wi-Fi công cộng hay kẻ tấn công trong mạng nội bộ khó xem bạn đang truy cập tên miền nào hoặc giả mạo câu trả lời. Bạn có thể bật DoH ngay trong trình duyệt, hệ điều hành hoặc router. Bài viết giải thích cơ chế, lợi ích, giới hạn và cách cấu hình.

DNS là gì và vì sao cần bảo mật

Khi bạn gõ một tên miền vào trình duyệt, thiết bị cần biết địa chỉ IP của máy chủ. Nó gửi câu hỏi tới máy chủ DNS (thường của nhà mạng) và nhận về địa chỉ. Với DNS truyền thống:

• Truy vấn gửi đi dạng rõ, ai trên đường truyền cũng đọc được tên miền bạn truy cập.
• Câu trả lời có thể bị giả mạo, chuyển hướng bạn tới trang lừa đảo.
• Nhà cung cấp DNS có thể ghi lại lịch sử truy vấn.

Dù nội dung trang web được bảo vệ bằng HTTPS, tên miền bạn truy cập qua DNS vẫn có thể bị lộ.

DoH hoạt động như thế nào

DoH, được chuẩn hóa trong tài liệu RFC 8484, đóng gói truy vấn DNS vào yêu cầu HTTPS gửi tới máy chủ DNS hỗ trợ DoH. Vì đi qua cổng 443 như lưu lượng web thông thường và được mã hóa bằng TLS:

• Người nghe lén trên mạng không đọc được nội dung truy vấn.
• Câu trả lời khó bị giả mạo vì kết nối được xác thực với máy chủ DNS.
• Truy vấn hòa lẫn với lưu lượng web khác.

So sánh các phương thức DNS

DoT và DoH đều mã hóa; khác biệt chủ yếu về cổng và khả năng quản lý. Android dùng tên gọi "DNS riêng tư" cho tính năng dựa trên DoT.

Bật DoH trên trình duyệt

• Chrome, Edge: vào Cài đặt, Quyền riêng tư và bảo mật, Bảo mật, bật "Sử dụng DNS bảo mật", chọn nhà cung cấp hoặc nhập địa chỉ tùy chỉnh.
• Firefox: Cài đặt, Quyền riêng tư và bảo mật, mục DNS over HTTPS, chọn mức bảo vệ và nhà cung cấp.
• Safari: phụ thuộc cài đặt DNS của hệ điều hành.

Cài đặt trong trình duyệt chỉ áp dụng cho trình duyệt đó, các ứng dụng khác vẫn dùng DNS hệ thống.

Bật DNS mã hóa ở cấp hệ điều hành

• Windows 11: trong cài đặt mạng, phần chỉnh DNS của kết nối, nhập máy chủ DNS hỗ trợ DoH và chọn chế độ mã hóa.
• Android: Cài đặt, Mạng và Internet, DNS riêng tư, nhập tên máy chủ của nhà cung cấp.
• iPhone, macOS: hỗ trợ DNS mã hóa thông qua hồ sơ cấu hình hoặc ứng dụng của nhà cung cấp DNS.

Bật ở cấp hệ điều hành giúp bảo vệ mọi ứng dụng, không chỉ trình duyệt.

Bật trên router

Một số router hỗ trợ DNS mã hóa, giúp bảo vệ toàn bộ thiết bị trong nhà, kể cả thiết bị thông minh không tự cấu hình được. Kết hợp với các bước cấu hình router an toàn trong bài bảo mật Wi-Fi gia đình.

Chọn nhà cung cấp DNS

Khi bật DoH, bạn chuyển niềm tin từ nhà mạng sang nhà cung cấp DNS bạn chọn. Họ vẫn thấy truy vấn của bạn. Tiêu chí lựa chọn:

• Chính sách quyền riêng tư rõ ràng: lưu nhật ký gì, trong bao lâu, có chia sẻ không.
• Có kiểm toán độc lập về cam kết quyền riêng tư không.
• Tốc độ phản hồi từ vị trí của bạn.
• Tính năng bổ sung như chặn tên miền độc hại, lọc nội dung cho gia đình.

DoH không làm được gì

• Không ẩn địa chỉ IP bạn kết nối: nhà mạng vẫn thấy bạn kết nối tới máy chủ nào.
• Tên miền vẫn có thể lộ qua SNI: trong quá trình bắt tay TLS, tên miền thường vẫn được gửi dạng rõ, trừ khi có ECH (Encrypted Client Hello) được hỗ trợ ở cả hai phía.
• Không ẩn danh: website vẫn thấy IP, cookie, dấu vân tay trình duyệt của bạn.
• Không chống mã độc: cần phần mềm bảo mật và cập nhật hệ thống.

Để giảm theo dõi trên web, cần kết hợp các biện pháp khác như trong bài ngăn chặn trình theo dõi trực tuyến.

DoH trong môi trường doanh nghiệp

Doanh nghiệp thường dùng DNS nội bộ để phân giải tên máy chủ nội bộ, lọc tên miền độc hại và giám sát bảo mật. DoH bật tùy ý trên trình duyệt có thể vượt qua các kiểm soát này. Vì vậy, nhiều tổ chức cấu hình trình duyệt qua chính sách quản lý để dùng máy chủ DoH của công ty hoặc tắt DoH tự động. Người dùng trên máy công ty nên tuân theo chính sách của bộ phận IT. Hướng tiếp cận của tường lửa thế hệ mới với lưu lượng mã hóa được bàn trong bài cơ chế hoạt động của NGFW.

Lọc nội dung cho gia đình bằng DNS

Một lợi ích ít được nhắc tới của việc chủ động chọn nhà cung cấp DNS là khả năng lọc. Nhiều dịch vụ DNS công cộng có các địa chỉ riêng tự động chặn tên miền độc hại, trang lừa đảo đã biết, hoặc nội dung người lớn. Khi đặt các địa chỉ này trên router, mọi thiết bị trong nhà, kể cả máy tính bảng của trẻ em, đều được hưởng lớp lọc này mà không cần cài phần mềm riêng.

Lưu ý rằng nếu một thiết bị hoặc trình duyệt tự bật DoH tới nhà cung cấp khác, nó có thể bỏ qua bộ lọc DNS trên router. Vì vậy, khi dùng DNS để lọc nội dung gia đình, hãy kiểm tra cài đặt DNS bảo mật trong trình duyệt của từng thiết bị và chọn cùng một nhà cung cấp có lọc. Lọc DNS cũng không phải hàng rào tuyệt đối; kết hợp với tính năng quản lý gia đình của hệ điều hành và sự đồng hành của cha mẹ sẽ hiệu quả hơn.

Kiểm tra DoH đã hoạt động chưa

Nhiều nhà cung cấp DNS có trang kiểm tra cho biết thiết bị của bạn có đang dùng dịch vụ của họ qua kết nối mã hóa hay không. Sau khi bật, truy cập trang kiểm tra của nhà cung cấp bạn chọn để xác nhận.