Oblivious DNS over HTTPS (ODoH), şifreli DNS’in gizlilik açığını kapatmak için tasarlanmış bir protokoldür: sorgunun içeriğini şifrelemekle kalmaz, sorguyu kimin gönderdiğini de çözümleyiciden gizler. Bunu, sorguyu çözen sunucuyla kullanıcının IP adresini gören sunucuyu iki ayrı tarafa bölerek yapar.

ODoH’un temel fikri basittir: kim sorduğunu bilen taraf ne sorduğunu bilmesin, ne sorduğunu çözen taraf da kim sorduğunu görmesin.

DoH Neyi Çözemedi?

DNS over HTTPS, sorgu içeriğini ağdaki dinleyicilerden korur; artık aradaki hiç kimse hangi siteyi çözümlediğinizi düz metin olarak göremez. Ancak sorguyu çözen çözümleyici, hem sorduğunuz alan adını hem de sizin IP adresinizi aynı anda görür. Bu da tek bir sağlayıcıda, kullanıcı kimliği ile gezinme geçmişini birleştiren eksiksiz bir profil oluşturma imkânı bırakır. ODoH tam olarak bu birleşimi kırmak için doğdu.

Nasıl Çalışır?

ODoH akışında üç rol vardır: istemci, aktarıcı (relay) ve hedef çözümleyici. İstemci sorguyu hedef çözümleyicinin genel anahtarıyla şifreler; bu şifreli paketi doğrudan çözümleyiciye değil, önce aktarıcıya gönderir. Aktarıcı istemcinin IP adresini görür ama içeriği çözemez, çünkü şifre çözme anahtarı yalnızca hedeftedir. Hedef çözümleyici ise sorgunun içeriğini çözer ama paketin kendisine aktarıcı üzerinden geldiğini, gerçek göndericinin IP’sini görmeden alır.

Bu ayrımın güvenliği, aktarıcı ile hedef çözümleyicinin işbirliği yapmamasına dayanır. İki taraf da anlaştığı takdirde kimlik ve içerik yeniden birleştirilebileceği için, ODoH kurulumlarında aktarıcı ve çözümleyicinin farklı kurumlarca işletilmesi kritik önemdedir. Şifrelemenin taşıma katmanı ise, veriyi yolda korumak için köklü SSL/TLS protokolü üzerine kurulur.

Kullanım Yeri ve Sınırları

ODoH, DNS çözümlemesinde metadata gizliliğine önem veren senaryolar için tasarlanmıştır; ancak her koruma gibi kör noktaları vardır. Ek bir sıçrama noktası eklediği için gecikmeyi bir miktar artırır ve aktarıcı seçimi bir güven kararına dönüşür. Ayrıca yalnızca DNS metadata’sını korur; şifreli bağlantı kurulduktan sonra ziyaret edilen sitelerin diğer izlerini gizlemez.

Kurumsal Değerlendirme

Kurumlar için ODoH, hem çalışan gizliliğini artıran hem de mimariye yeni güven sınırları ekleyen bir teknolojidir; yanlış konumlandırılan bir aktarıcı, çözmeyi amaçladığı sorunu geri getirebilir. Bu tür protokol kararlarının kurumun ağ topolojisiyle tutarlı olup olmadığını değerlendirmek için altyapı ve mimari gözden geçirme çalışması, DNS gizlilik seçimlerini bütünsel mimari içinde ele alır.