El Secreto Oculto del DNS: ¿Qué Puede Ver Realmente tu ISP a Través del HTTPS?
La creencia de que el cifrado DNS (como DoH o DNS-over-HTTPS) ofrece una privacidad inexpugnable es una ilusión. Un análisis profundo revela que, aunque se oculta la consulta DNS en sí, los proveedores de servicios de Internet (ISP) y cualquier observador en la ruta pueden seguir rastreando la actividad de navegación a través de la observación de los protocolos de cifrado de transporte, como el handshake TLS.
La Ilusión del Cifrado DNS
La base de la preocupación es la exposición de metadatos. Las consultas DNS tradicionales se transmiten en texto plano, lo que permite a tu ISP ver cada nombre de host que buscas, exponiendo tu actividad de navegación. La solución adoptada por muchos usuarios es implementar tecnologías como DoH (DNS-over-HTTPS) para cifrar estas consultas, asegurando que el tráfico DNS se mantenga privado.
El Error de la Suposición Inicial
La premisa inicial era que al ocultar las consultas DNS, se eliminaba la mayor fuente de metadatos. Sin embargo, esta visión es incompleta. El verdadero punto de vulnerabilidad no reside en la consulta DNS, sino en el siguiente paso del proceso: la conexión HTTPS que sigue a la resolución de la IP.
La Revelación Oculta en el Handshake TLS
Si el DNS se cifra, la siguiente capa de análisis se desplaza hacia el cifrado de la conexión de transporte. El punto de inflexión se encuentra en el protocolo TLS (Transport Layer Security), que cifra la comunicación entre el navegador y el servidor. Aunque el contenido de la conexión esté cifrado, la forma en que se establece esa conexión revela información crucial.
Observando la Información No Cifrada
Al examinar el handshake TLS, se descubre que el navegador aún anuncia la dirección a la que se está conectando. Esto permite a los observadores identificar los destinos finales de la navegación, independientemente de si la consulta DNS fue cifrada. Herramientas como Wireshark, utilizando comandos específicos como tshark para capturar el tráfico en el puerto 443 y filtrar por el tipo de handshake, permiten visualizar esta información.
Ejemplos de Datos Revelados
Las capturas de tráfico demuestran que, incluso con DNS cifrado, se pueden identificar dominios visitados. Los resultados de estas inspecciones incluyen tanto sitios conocidos como dominios inesperados, como reddit.com, google.com y xda-developers.com, junto con dominios menos obvios como adblockplus.org, cdn-apple.com, grcv.io y senti.
La Evolución del Stack de Privacidad DNS
El camino hacia una mejor privacidad no es lineal, sino iterativo. La experiencia de configurar un sistema de DNS seguro demuestra que la elección de herramientas es tan importante como la implementación técnica. El recorrido incluye el uso de Pi-hole para el bloqueo de anuncios, la implementación de dnscrypt-proxy para DoH, la simplificación con AdGuard Home (AGH), y la incorporación de Unbound para la resolución recursiva. La combinación final, como AGH con Unbound y Quad9 DoH, representa un enfoque robusto que aborda tanto la consulta como la conexión de transporte.
La Opinion de ExploxTV
La experiencia de Shekhar Vaidya subraya una verdad incómoda: la seguridad en línea es una capa, no un muro. El cifrado DNS resuelve el problema de la visibilidad de las consultas, pero no elimina la capacidad de la infraestructura de red para monitorear el flujo de datos a nivel de transporte. Esto obliga a los usuarios a entender que la privacidad digital es una batalla constante entre las capas de cifrado. La próxima frontera de la privacidad no será solo cifrar el contenido, sino también ocultar la metadatos de las conexiones.