Numer portu przypisała protokołowi IANA pod nazwą usługi domain-s. Standard zabrania przesyłania nim komunikatów niezaszyfrowanych – także po nieudanym uzgodnieniu TLS – oraz odradza korzystanie w tym celu z portu 53, aby ograniczyć ryzyko wymuszenia rezygnacji z szyfrowania.
Profile prywatności Dokument opisuje dwa sposoby korzystania z protokołu: profil oportunistyczny – klient próbuje nawiązać połączenie szyfrowane, ale nie musi weryfikować tożsamości serwera, a w razie niepowodzenia może wrócić do zwykłego DNS. Rozwiązanie takie zapewnia prywatność wobec biernego podsłuchu, pozostaje jednak podatne na ataki osoby aktywnie ingerującej w transmisję; profil z przypiętym kluczem – klient zna z góry klucz serwera i akceptuje wyłącznie jego. Stosuje się go tam, gdzie zaufanie między klientem a serwerem zostało wcześniej ustalone, na przykład w sieciach firmowych.
Porównanie z DNS over HTTPS Oba protokoły realizują ten sam cel, różnią się natomiast sposobem transportu. DNS over HTTPS (DoH) umieszcza zapytania wewnątrz żądań HTTPS kierowanych na port 443, wspólny z ruchem stron internetowych, przez co jest trudny do odróżnienia od zwykłego przeglądania sieci. DoT korzysta z wydzielonego portu 853, co pozwala rozpoznać go zwykłym monitorowaniem ruchu, a zarazem łatwo zablokować na zaporze sieciowej.
Zobacz też DNS over HTTPS Domain Name System DNSSEC Zatruwanie DNS
Przypisy
Kategoria:Protokoły sieciowe