Alan adı sisteminin ne kadar kırılgan olduğunu çoğumuz yalnızca internet yavaşladığında düşünür. Oysa tarayıcınıza bir adres yazdığınız anda gerçekleşen şey şudur: hangi sunucuya gideceğinizi, bağlantınızın bulunduğu ağa "yoruma" sorarsınız. On yıllar boyunca bu sorgular düz metinle yapılıyordu; kahve içtiğiniz kafe, otelin ağı, servis sağlayıcınız, hep aynı listeyi görüyordu — hangi sitelere gittiğiniz. DNS over HTTPS, yani DoH, bu listeyi kapattı ve yerine yeni bir soru sordu: listeyi artık kim tutuyor?

Ne kazandırdı?

En görünür kazanç, sorguların artık ağ üzerindeki herkes için okunmaz hale gelmesi. Aynı wifi'daki biri artık hangi alan adlarını ziyaret ettiğinizi gözleyemez; yönlendiricinizde oturan kötücül yazılım, DNS sorgularını yakalayıp sizi sahte adreslere yönlendiremez. Bu iki kazanım küçük değil: yerel ağ saldırılarının bütün bir sınıfını devre dışı bırakıyor. Tarayıcı tarafında da iş neredeyse sorunsuz: sunucu yanıtında şifreleme, doğrulama ve önbellek, sorgunun bir parçası olarak kullanıcıya hiç hissettirmeden akıyor. Ayrıca DoH, internet sansürünün en kaba aracını — DNS tabanlı engellemeyi — de etkisizleştirir; bu yüzden bazı ülkelerde tarayıcılar DoH'u açmakla, bazıları kapatmakla uğraşır.

# Sunucunuzun DoH konuşup konuşmadığını ölçün
curl --max-time 5 -s "https://dns.google/dns-query?name=teknogazete.example&type=A" \
  -H "accept: application/dns-json" | head -c 400

Bir de görünmeyen kazanç var: bütünlük. Düz metin DNS'te yanıtın yolda değişmesi ile yaratıcının niyeti ayırt edilemezdi; DoH'ta değişen her paket, doğrulama hatasıyla düşer. Kullanıcı "yanlış cevap" değil, "cevap yok" görür — ki güvenlik açısından ikincisi çok daha değerli bir davranıştır.

Güven bunalımı: gözlemci azaldı, güç yoğunlaştı

Ama bedel var: DNS sorguları artık ağdaki herkes yerine, seçtiğiniz tek bir çözücüye açık gidiyor. O çözücü, ziyaret ettiğiniz bütün adreslerin tek listesini tutuyor. Daha önce herkesin bir kısmını gördüğü bir veri, tek bir şirketin tam olarak gördüğü veriye dönüştü. Gizlilik savunucularının itirazı budur: gözlemci sayısı azaldı, ama kalan gözlemcinin gücü büyüdü. Ayrıca DoH'un tarayıcı üzerinden doğrudan sağlayıcıya bağlanma biçimi, kurumsal ağlarda filtreleme ve kayıt tutma sorumluluğu olan yöneticileri de zor durumda bırakıyor: kontrollerini kaybetmemek için DoH'u kapatıyor ya da kendi çözücülerini sunuyorlar.

Dengeli bir kurulum

Çözüm, uçları seçmekten değil, yapıyı tasarlamaktan geçiyor. Bireysel kullanıcı için DoH, açık bir wifi'da en büyük değeri üretir; kurumsal ağ için ise kendi çözücünüzü çalıştırıp günlükleri kendi politikalarınıza göre tutmak, genellikle hem uyum hem gizlilik açısından daha tutarlıdır. Uygulama geliştiriciyseniz, kütüphanelerinizin hangi çözücüyü kullandığını bilin; varsayılan ayarlar sizin için karar vermesin. Sunucu tarafında çalışan bir ekipseniz, uygulamanızın çıkış yaptığı alan adlarını bilmiyorsanız, DNS günlüklerinize bakın; orada sizin bile görmediğiniz bağlantılar listelenir.

Gizlilik, herkesin tek bir yere emanet ettiği bir şey değildir; kimin neyi gördüğünü bilme disiplinidir. DoH bir kazanç, ama mükemmel bir çözüm değil; kazancı alıp bedeli ciddiye alan ekip, ya da hiç almayan ekipten daha fazladır. Soru "DoH açalım mı" değil, "DNS sorgularımızda kimi güveniyoruz" sorusudur.