Как работает шифрование DNS-запросов через Google Public DNS?

Шифрование DNS-запросов через Google Public DNS работает с использованием протокола DNS-over-TLS. www.comss.ru security.googleblog.com

Принцип работы: DNS-запросы и отчёты передаются через TCP-соединения с шифрованием TLS. www.comss.ru Это сделано, чтобы злоумышленникам было сложнее манипулировать DNS-запросами и прослушивать интернет-соединение. www.comss.ru

Протокол DNS-over-TLS можно использовать в двух режимах: www.comss.ru

1. Режим строгой конфиденциальности (strict privacy mode). www.comss.ru Устройство или система создаёт безопасное соединение TLS с DNS-сервером на порту 853, которое в случае сбоя отвечает ошибкой. www.comss.ru
2. Режим условной конфиденциальности (opportunistic privacy mode). www.comss.ru Если клиент не может установить безопасное соединение через порт 853, он возвращается к обмену данными с DNS-сервером через стандартный порт 53 по протоколам UDP или TCP без какой-либо защиты или конфиденциальности. www.comss.ru

Кроме того, для защиты пользователей от атак, связанных с подделкой кэша, в Google Public DNS применяются, например, DNS-куки и рандомизация имени запроса. security.googleblog.com