DNS over HTTPS (DoH) es un protocolo que envía las consultas y respuestas DNS dentro de conexiones HTTPS cifradas, ocultándolas a los espías e impidiendo su manipulación en la ruta de red.
Cómo funciona DNS over HTTPS
Las consultas DNS tradicionales viajan en texto claro por el puerto 53, así que cualquiera en la red puede ver qué dominios visita un usuario y alterar las respuestas. DoH, normalizado en el RFC 8484 (2018), encapsula los mensajes DNS en peticiones HTTPS a un resolutor, normalmente en el puerto 443, donde se confunden con el tráfico web normal. Un protocolo afín, DNS over TLS (DoT, RFC 7858), cifra el DNS con TLS en el puerto dedicado 853, más fácil de identificar para los administradores de red.
Firefox empezó a activar DoH por defecto para los usuarios de EE. UU. en 2020, y Chrome, Edge, Android y Windows 11 también admiten DNS cifrado. Resolutores públicos como Cloudflare, Google y Quad9 ofrecen servicios DoH.
Por qué importa DoH para la seguridad
Para los usuarios, DoH protege la privacidad en redes Wi-Fi públicas y dificulta la censura y la suplantación basadas en DNS. Para las organizaciones es un arma de doble filo:
- Pérdida de visibilidad: los navegadores que usan un resolutor DoH externo eluden el filtrado, el registro y los servicios de DNS de protección corporativos.
- Abuso por malware: la puerta trasera Godlua, descubierta en 2019, fue una de las primeras familias de malware conocidas que usaron DoH para ocultar sus consultas de comando y control, y el grupo iraní OilRig (APT34) usó tunelización sobre DoH para exfiltrar datos.
- Detección más difícil: la tunelización DNS dentro de HTTPS no puede inspeccionarse sin interceptar TLS.
Buenas prácticas
- En las empresas, ofrecer un resolutor DoH o DoT interno e imponerlo mediante políticas del navegador y del sistema operativo.
- Bloquear en el cortafuegos los resolutores DoH públicos conocidos cuando la política exija visibilidad del DNS.
- Firefox respeta el dominio canario use-application-dns.net, con el que las redes pueden desactivar DoH automático.
- En casa, elegir un resolutor de confianza, idealmente uno que filtre dominios maliciosos.
