DoH và DoT là gì? Khi nào thì sử dụng DoH và DoT

DNS là viết tắt của Domain Name System, sử dụng port UDP hoặc TCP 53, là 1 giao thức dùng để phân giải tên miền thành các địa chỉ IP và ngược lại, để các thiết bị mạng có thể hiểu được. Tuy nhiên, DNS là giao thức không an toàn, dễ bị chặn hoặc bị tấn công, điều này có thể gây rủi ro bảo mật cho người dùng. DNS over TLS (DoT) và DNS over HTTPS (DoH) cung cấp một cách an toàn và được mã hóa để gửi các yêu cầu DNS, vì vậy người dùng có thể chắc chắn rằng dữ liệu của họ an toàn và bảo mật. Chúng ta cùng tìm hiểu DoH và DoT là gì, cũng như sự khác biệt giữa 2 giao thức này nhé.

DNS over TLS (DoT) là gì?

DNS over TLS (DoT) là một giao thức bảo mật để mã hóa và đóng gói các truy vấn và phản hồi DNS qua giao thức TLS. DoT tăng cường quyền riêng tư và bảo mật của người dùng bằng cách ngăn chặn việc nghe lén và thao túng dữ liệu DNS thông qua các cuộc tấn công trung gian.

DoT hoạt động bằng cách đóng gói thêm 1 lớp mã hóa TLS lên các truy vấn DNS, khi đó yêu cầu và các phản hồi DNS sẽ được gửi dưới dạng dữ liệu đã được mã hóa bằng 1 key duy nhất cho mỗi phiên kết nối, chỉ có các thiết bị tham gia vào phiên hiện tại mới có thể truy cập dữ liệu. DoT sử dụng giao thức TCP port 853 thay cho port 53 mặc định của DNS.

DNS over HTTPS (DoH) là gì?

Tương tự như DoT, DNS over HTTPS (DoH) cũng là 1 giải pháp để bảo vệ các truy vấn DNS, tuy nhiên DoT sử dụng HTTPS port 443 để bảo vệ các truy vấn DNS. Từ quan điểm của IT, lưu lượng DNS sẽ giống như các lưu lượng HTTPS, chẳng hạn như khi người dùng truy cập vào các website thông thường.

Một tính năng chính của DoH là nó ẩn địa chỉ nguồn của các yêu cầu DNS từ các ISP và các bên thứ ba khác theo dõi lưu lượng truy cập web. Điều này gây khó khăn cho ISP và các tác nhân khác trong việc theo dõi và thu thập dữ liệu về hoạt động trực tuyến của người dùng, mang lại lớp quyền riêng tư cho người dùng. Ngoài ra, DoH mã hóa toàn bộ phản hồi DNS, bao gồm cả trường địa chỉ IP, khiến bên thứ ba hầu như không thể truy cập hoặc xem dữ liệu của người dùng.

Sự khác biệt giữa DoT và DoH

Như định nghĩa, chúng ta có thể thấy điểm khác biệt chính giữa 2 giao thức là DoT thiết lập kết nối qua giao thức TCP sử dụng port 853, mã hóa truy vấn DNS bằng TLS, trong khi DoH sử dụng TCP port 443, mã hóa bằng HTTPS và HTTP/2.

Một điểm khác biệt nữa là độ phức tạp của mã hóa. DoT sử dụng lớp mã hóa TLS bổ sung, còn DoH sử dụng HTTPS phức tạp và an toàn hơn. DoH cũng mã hóa toàn bộ phản hồi DNS, bao gồm cả payload và IP, khiến nó an toàn hơn và hacker sẽ không thể xem được nội dung dữ liệu.

DoT yêu cầu có các DNS resolvers hỗ trợ giao thức, còn DoH có thể sử dụng với bất kỳ trình duyệt web nào hỗ trợ HTTPS. Do vậy DoH sẽ phổ biến và được sử dụng rộng rãi hơn, bất kỳ ai cũng có thể sử dụng.

Nên sử dụng DoT hay DoH

Câu trả lời phụ thuộc vào từng mô hình mạng và yêu cầu bảo mật của quản trị viên hệ thống, mỗi giao thức sẽ có ưu nhược điểm riêng, quan trọng là chúng ta đang focus vào mục đích gì. Có 1 số điểm chính mà các bạn có thể cân nhắc để lựa chọn giao thức phù hợp:

• Từ quan điểm bảo mật, DoT thường được lựa chọn hơn do nó cho phép quản trị viên giám sát được các traffic DNS, qua đó có các action là permit hoặc deny 1 số traffic không mong muốn. Điều này giúp IT xác định và ngăn chặn các mối nguy hiểm tiềm ẩn.
• Từ góc độ riêng tư, DoH thường được lựa chọn hơn vì các truy vấn DNS lúc này sẽ được mã hóa bằng HTTPS và HTTP/2, khi đó các truy vấn DNS sẽ tương tự như các truy cập web bình thường, nên người dùng sẽ có thêm quyền riêng tư. Tuy nhiên quản trị viên sẽ khó khăn trong việc ngăn chặn các truy vấn DNS độc hại, hoặc có thể chặn nhầm cả các lưu lượng HTTPS khác. 

Kết luận

Để đảm bảo quyền riêng tư và bảo mật trong thời đại 4.0, DoT và DoH sẽ là sự lựa chọn tuyệt vời cho các hệ thống mạng. Hiện nay, tất cả các thiết bị như Router, Firewall, hay các thiết bị hỗ trợ DNS đều đã hỗ trợ 2 giao thức này. Do đó, đã đến lúc chúng ta thay đổi để có thể giúp mạng Internet trở thành môi trường an toàn hơn.

Các bạn có thể tham khảo các dòng Firewall mới nhất hỗ trợ DoT và DoH, được phân phối chính hãng tại CNTTShop: Firewall Chính hãng.