Google acababa de implementar en sus DNS la función DNS-over-TLS,

A partir de ahora, las conexiones con el servidor DNS estarán igual de protegidas que las que realizamos contra una página web por HTTPS. Estos DNS respetan las reglas RFC 7766 para evitar la sobrecarga y, además, cuentan con soporte para TLS 1.3, TCP Fast Open (TFO) para agilizar las peticiones y funciones para realizar varias resoluciones en una única petición.

Esta medida de seguridad y privacidad depende exclusivamente de Google, por lo que nosotros no tenemos que hacer nada para poder disfrutar de ella. Además, su uso es totalmente pasivo e invisible, no notaremos ningún cambio entre el funcionamiento de siempre.

Google es la quinta entidad que decide implementar DNS-over-TLS para su servidores DNS públicos, antes ya lo hicieron:

• Cloudflare 
• CleanBrowsing
• Quadrant Information Security 
• Quad9

DNS Privado

¿Por qué usar DNS privado?


TLS es el protocolo que cifra su tráfico a través de un canal de comunicación no confiable, como cuando navegas su correo electrónico en la red inalámbrica de una cafeteria. Incluso con TLS, todavía no hay forma de saber si su conexión con el servidor DNS ha sido secuestrada o si está siendo rastreada por un tercero. Esto es importante porque un mal actor podría configurar un punto de acceso WiFi abierto en un lugar público que responda a consultas de DNS con registros falsificados para secuestrar conexiones a proveedores de correo electrónico comunes y bancos en línea. DNSSEC resuelve el problema de garantizar la autenticidad firmando respuestas, haciendo que la manipulación sea detectable, pero deja el cuerpo del mensaje legible por cualquier otra persona en el cable.

DNS sobre HTTPS / TLS resuelve esto. Estos nuevos protocolos aseguran que la comunicación entre su dispositivo y el sistema de resolución esté encriptada, tal como esperamos del tráfico HTTPS.

Sin embargo, hay un último paso inseguro en esta cadena de eventos: la revelación de la SNI (indicación del nombre del servidor) durante la negociación inicial de TLS entre su dispositivo y un nombre de host específico en un servidor. El nombre de host solicitado no está cifrado, por lo que los terceros aún pueden ver los sitios web que visita. Tiene sentido que el paso final para asegurar completamente su actividad de navegación implique el cifrado de SNI, que es un estándar en curso en el que va varias organizaciones se han unido para definir y promover.

DNS Over TLS en Android 9.0

Android 9, la nueva versión del sistema operativo móvil de Google, ya sí que cuenta con soporte para este nuevo protocolo de seguridad gracias a la nueva función “Private DNS Mode” incluida en esta actualización. Private DNS Mode nos permite hacer uso en nuestro smartphone de la seguridad de DNS-over-TLS de forma nativa, sin depender de una VPN ni ninguna otra configuración más que especificar el servidor como tal.


“Ajustes > Redes e Internet“. Dentro de las opciones de red que nos aparecen aquí, en el apartado “Avanzado”, podremos ver una opción llamada “DNS Privado“. Esta es la opción que nos interesa.




Para usar los DNS privados de Google, debemos introducir en este apartado:

dns.google

Para usar los DNS privados de Cloudflare, la dirección que debemos introducir en este apartado es:

1dot1dot1dot1.cloudflare-dns.com

“Settings” and then “Network & Internet”. At the bottom, you should see an “Advanced” option. Open up the “Advanced” options and you should see a “Private DNS” option. S

dns-tls.qis.io

1. Go to Settings –> Network & Internet –> Advanced –> Private DNS.
2. Select the Private DNS provider hostname option.
3. Enter dns.quad9.net and select Save.

 dns.quad9.net

Funcionamiento técnico

• A stub resolver (the DNS client on a device that talks to the DNS resolver) connects to the resolver over a TLS connection:
• Before the connection the DNS stub resolver has stored a base64 encoded SHA256 hash of cloudflare-dns.com’s TLS certificate (called SPKI)
• DNS stub resolver establishes a TCP connection with cloudflare-dns.com:853
• DNS stub resolver initiates a TLS handshake
• In the TLS handshake, cloudflare-dns.com presents its TLS certificate.
• Once the TLS connection is established, the DNS stub resolver can send DNS over an encrypted connection, preventing eavesdropping and tampering.
• All DNS queries sent over the TLS connection must comply with specifications of sending DNS over TCP.

Versiones anteriores Android 9 

Versiones anteriores de Android. Los dispositivos que ejecutan versiones anteriores a Android 9 no admiten DNS sobre TLS y no pueden configurar DNS privados para todas las redes. Puede configurar DNS para cada red WiFi individual que use. Esto requiere configurar toda la información de la red manualmente y solo se recomienda para usuarios avanzados. Sin embargo existe una app de CloudFlare para facilitar la tarea.

 A principios del año 2018, CloudFlare lanzó su propio servicio de DNS al público, llamado "1.1.1.1". La resolución de DNS de CloudFlare es diferente de su ISP u otras alternativas de DNS como Google Public DNS y Cisco OpenDNS, ya que se centra en la privacidad y la velocidad en primer lugar. Su dirección IP nunca se registra ni se guarda en los servidores de CloudFlare, y con varias optimizaciones implementadas, 1.1.1.1 es, según CloudFlare, hasta un 28% más rápido que otras soluciones de DNS. También ayuda a combatir la censura: se sabe que países como Turquía y Venezuela censuran y bloquean los medios de comunicación, las redes sociales y los sitios web para adultos, y una resolución de DNS alternativa ayuda a superar esa restricción. 1.1.1.1 también se puede utilizar en teléfonos Android, pero no es un proceso exactamente sencillo para dispositivos con Android Oreo y versiones inferiores. Por suerte, CloudFlare ha lanzado una aplicación para hacerlo más fácil.



El proceso es simple: solo descargue la aplicación, ábrala y toque la tecla para usar el DNS 1.1.1.1 de CloudFlare y navegue con él. También es bastante ligero con 7,8 MB. ¿Y la mejor parte? No requiere root ni ninguna otra modificación: solo ábrela, toca y listo. ¿El único inconveniente? La aplicación utiliza la API VPN de Android para conectarse a la resolución DNS alternativa. Esto significa que si está usando 1.1.1.1, no podrá usar un proveedor de VPN real al mismo tiempo.

Warp:

• https://play.google.com/store/apps/details?id=com.cloudflare.onedotonedotonedotone

iPhone

• https://itunes.apple.com/us/app/1-1-1-1-faster-internet/id1423538627?mt=8

Fuentes:
https://www.redeszone.net/2019/01/11/usar-dns-over-tls-android-9/
https://www.redeszone.net/2019/01/10/dns-over-tls-google/