DNS over TLS (DoT), istemci ile çözümleyici arasındaki DNS trafiğini bir TLS tüneli içinde taşıyan protokoldür. Klasik DNS sorguları UDP 53 üzerinden düz metin gider; yolun üzerindeki herkes hangi alan adını çözdüğünüzü okuyabilir ve yanıtı değiştirebilir. DoT bu trafiği ayrı bir port olan TCP 853’te SSL/TLS protokolü ile şifreleyerek bu iki sorunu birden ele alır.

DNS over TLS, adres çözümleme sorgularını okunamaz ve kurcalanamaz kılan; DNS’i düz metin bir zayıflıktan şifreli bir kanala taşıyan protokoldür.

Neyi Korur, Neyi Korumaz?

DoT iki temel garanti verir: gizlilik ve bütünlük. Gizlilik tarafında, ağdaki bir dinleyici artık ziyaret ettiğiniz alan adlarını sorgu içeriğinden okuyamaz. Bütünlük tarafında ise TLS’in kimlik doğrulaması sayesinde araya giren bir aktörün yanıtı değiştirip sizi sahte bir IP’ye yönlendirmesi engellenir. Bu ikinci garanti, klasik DNS altyapısına yönelik en yaygın saldırılardan birine doğrudan cevap verir.

Buna karşın DoT her şeyi gizlemez. Sorgunun içeriği şifreli olsa da, bağlantı kurduğunuz nihai sunucunun IP adresi ve TLS el sıkışmasındaki SNI alanı ağ üzerinde hâlâ görünebilir. Yani DoT, hangi siteye gittiğinizi tümüyle saklayan bir anonimlik aracı değil, DNS katmanının özel gizlilik ve bütünlük çözümüdür.

Zehirlenmeye Karşı Konumu

DoT’un bütünlük garantisi özellikle DNS zehirlenmesi senaryolarında değer taşır. İstemci ile güvenilir çözümleyici arasındaki kanal kimliği doğrulanmış ve şifreli olduğu için, bu bacakta sahte yanıt enjekte etmek pratikte mümkün olmaz. Ancak çözümleyicinin kendi önbelleği ile üst otoriteler arasındaki trafik ayrı bir konudur; uçtan uca güven için DNSSEC gibi tamamlayıcı mekanizmalar gerekir.

DoH ile Farkı ve Kurumsal Tercih

En sık karşılaştırıldığı protokol olan DNS over HTTPS ile temel farkı taşıma biçimidir. DoT kendine ait 853 portunu kullanır; bu, ağ yöneticilerinin DNS trafiğini görmesini ve politika uygulamasını kolaylaştırır. DoH ise sorguları 443 portunda normal web trafiğinin içine gizler, dolayısıyla ayırt edilmesi zordur. Kurumsal ağlarda görünürlük ve denetlenebilirlik önceliğinde olduğu için DoT çoğu zaman tercih edilir.

Şifreli DNS’in ağ mimarisine doğru yerleştirilmesi, hangi çözümleyicinin güvenilir kabul edileceği ve iç ağ görünürlüğüyle çakışmaması dikkatli tasarım ister. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, DNS çözümleme yolunun bu güven ve görünürlük dengesini kurumun tehdit modeliyle karşılaştırır.