Un experto en redes comprobó que, aunque el DNS-over-HTTPS (DoH) cifra las consultas DNS para proteger la privacidad, el navegador aún revela dominios visitados durante el establecimiento de conexiones HTTPS, lo que permite a proveedores de internet (ISP) y terceros conocer parte del tráfico web.
Por qué importa: Esta revelación muestra que el cifrado DNS no es suficiente para ocultar toda la actividad en línea, ya que el protocolo TLS expone nombres de dominio en el proceso de conexión.
Lo esencial
- El DNS-over-HTTPS cifra las consultas DNS para evitar que el ISP vea los sitios consultados.
- El navegador envía el nombre del dominio en texto claro durante el handshake TLS, visible para el ISP.
- Herramientas como Wireshark permiten capturar estos datos y evidenciar la exposición.
Limitaciones del DNS cifrado
El DNS tradicional transmite consultas en texto plano, lo que facilita que el ISP y otros actores vean qué sitios se consultan. El DNS-over-HTTPS cifra estas consultas, protegiendo esa etapa del proceso. Sin embargo, esta protección solo cubre la consulta DNS, no la conexión posterior al servidor web.
El rol del handshake TLS y el SNI
Al iniciar una conexión HTTPS, el navegador realiza un handshake TLS que incluye el Server Name Indication (SNI), un campo que indica el nombre del dominio al que se conecta. Este campo no está cifrado en versiones anteriores de TLS, por lo que puede ser interceptado y leído por el ISP o cualquier observador en la ruta.
