谷歌Chrome加密DNS活动的优缺点

由于最初的HTTP协议HTTPS在安全版本中的扩展，今天的大多数互联网通信都是加密的，这提高了您的隐私，并保护您的浏览数据不被窃听者发现。如果你访问未加密的网站，主流浏览器如谷歌Chrome和火狐会警告你。

然而，虽然取得了很大的进步，但并不是所有的互联网流量都是加密的。域名系统(DNS)，一种将域名(如google.com)转换为IP地址(如74.125.157.99)的协议，目前还是纯文本形式，可以透露出很多你的浏览习惯。

近年来推出的https协议通过为您的DNS数据包添加一层加密，改善了您浏览体验的隐私性。自2017年以来，火狐率先尝试支持HTTPS域名系统。谷歌Chrome在78版中增加了对DoH的实验性支持。谷歌将于12月推出79版，默认支持1%的Chrome用户。

由于Chrome是超过65%用户的首选浏览器，DoH的实现可能会对浏览隐私产生深远的影响。以下是您需要了解的https上dns的隐私优势和限制。

在互联网(以及本地和离线网络)上，每台计算机都有一个由四个数字组成的IP地址(例如，74.125.157.99)。当计算机想要相互通信(例如浏览网站)时，它们必须指定目的地的IP地址。但是人脑不太擅长记忆数字序列(想象一下要记住几千个IP地址)。

这就是为什么网络科学家创造了DNS协议，允许你使用域名(人类更容易记住)来指代网络上的计算机。只要你输入一个网站的地址(比如en.wikipedia.org)，你的电脑就会向你的DNS解析器(通常是你的互联网服务提供商)发送一个DNS请求。然后，解析器与一系列DNS服务器通信，以找到要连接的网站或服务的IP地址。

这是事情变得更糟的地方。您发送的DNS请求未加密。它包含您请求的域和您自己的IP地址的一部分。任何窃听你网络流量的人都可以登录你浏览的所有网站。这包括您的互联网服务提供商(ISP)、将您的请求路由到DNS服务器的服务器、您在当地咖啡店或图书馆使用的Wi-Fi网络的所有者、政府机构或任何拥有足够技术来设置网络监控工具的人。

在某些情况下，恶意参与者可以拦截请求并返回虚假的IP地址，将您重定向到恶意网站。

DoH背后的基本思想是在您的DNS请求中添加一层加密，使其内容对不需要的一方不可见。当您使用HTTPS域名系统时，您的浏览器会加密您的域名系统请求，并将其伪装成HTTPS数据包。然后，它将它们发送到一个受信任的DoH解析器，该解析器执行其余的差事，向DNS服务器发送消息，并解析您想要访问的网站的地址。

监控您的互联网流量的窃听者将无法跟踪您的DNS流量。此外，DoH服务器会采取预防措施，避免向解析地址的DNS服务器泄露您的IP地址。

自78版以来，谷歌增加了对HTTPS域名系统的支持。它还处于实验阶段，所以激活它并不那么容易。要访问实验功能，您必须在地址栏中输入“chrome://flags”。这就导致了Chrome的实验特性。

找到名为“安全域名系统查找”的功能，并将其设置为“已启用”。(可以使用页面顶部的搜索栏快速查找。或者，可以在地址栏输入“chrome ://flags # DNS-over-https”直接进入Chrome的DoH设置)

启用此功能后，您必须重新启动谷歌浏览器，HTTPS域名系统功能才能生效。

这里有个陷阱。在谷歌Chrome中切换DoH标志不足以使您的DNS请求私有。使用HTTPS :域名系统时，有两件事要做

有几个值得信赖的DoH解析器，包括Cloudflare(IP : 1.1.1.1)和Google (IP : 8.8.8)。但这并不意味着你的电脑正在使用它们。

默认情况下，大多数计算机使用ISP或网络管理员提供的默认DNS解析程序。如果你的解析器不支持DoH，启用谷歌Chrome的DoH标志也没什么区别。

要查看您的浏览器中是否真的启用了HTTPS域名系统，请转到Cloudflare的安全检查页面，然后单击“检查我的浏览器”按钮。如果您的DoH设置工作正常，您应该会看到安全DNS列旁边的绿色复选标记。

如果您的安全DNS列仍有红色或橙色图标，请启用Chrome的DoH功能，并尝试手动将您的DNS解析器设置为“1.1.1.1”或“8.8.8.8”。(您可以在Windows 10here和MacOShere中找到调整DNS设置的说明。)

虽然DNS-over-HTTPS增强了谷歌Chrome浏览器的浏览隐私，但并不是一个完美的解决方案。

案。这里有一些事情需要考虑:

DoH不会阻止ISP追踪:互联网用户最关心的隐私问题之一是他们的ISP追踪他们的浏览习惯并将其卖给广告商。读取DNS请求是isp用来跟踪您的浏览的主要方法之一。但即使他们没有访问你的DNS数据包，他们可以知道你正在访问哪些网站，因为你的HTTPS请求仍然会通过他们。虽然HTTPS加密请求表单数据(用户名、密码、地址、电话号码等)和页面细节等内容，但它仍然会显示您访问的网站域。

这方面的一个考虑是DoH传播到内容传递网络(CDNs)。CDN本地节点通常在一台服务器上托管多个网站，它们将能够使用一个称为“连接合并”的特性来显示关于您访问的域的更少信息。但这还没有完全实现。

DoH可能会破坏一些安全工具:许多端点安全工具和智能防火墙使用DNS请求来检测和防止连接到恶意域。DoH可能会破坏这些工具的功能。

DoH不会保护未加密网站中的数据。虽然对web进行加密已经取得了很大的进展，但是仍然有很多网站使用未加密的HTTP协议。这些网站把你所有的信息暴露给窃听者和网络网关。使用DNS-over-HTTPS将不会保护您与这些网站交换的数据。

尽管如此，对于谷歌Chrome和其他浏览器来说，DNS-over-HTTPS是一个很好的隐私改进，特别是在将来使用它将变得相对琐碎。如果你想要完全的隐私，考虑使用虚拟专用网(VPN)，它为你所有的网络流量增加了一层加密，甚至隐藏了你通信的域。