قبل أن يظهر أي موقع إلكتروني على الشاشة، عادة ما يحدث أمر أقل وضوحاً: يرسل أحد التطبيقات استعلاماً عن العنوان المقابل للاسم الذي نريد فتحه. ويمكن لهذا الاستعلام أن يكشف معلومات حول اهتماماتنا وعاداتنا حتى قبل أن يكتمل تحميل الصفحة. فمن يمكنه رؤيته، وما الذي يتغير عند استخدام DNS مشفر؟
الجواب المختصر هو أن خصوصية DNS تقلل من انكشاف تلك الاستعلامات، ولا سيما أثناء انتقالها بين الجهاز ومُحلِّل النطاقات. إنها تحسين ملموس، لكنه محدود: فهي لا تجعل التصفح مجهول الهوية، ولا تخفي حركة المرور بأكملها، كما أنها لا تلغي الحاجة إلى الثقة في وسيط.
ويتيح فهم هذه الحدود الاختيار بوعي أكبر وتجنب خلط شائع: حماية جزء من الاتصال لا تعني جعل الكل غير مرئي.
ماذا يحدث عندما نستعلم عن نطاق
يتذكر البشر أسماء مثل ejemplo.org؛ بينما تحتاج الشبكات إلى بيانات أخرى للعثور على الخدمة المقابلة. ويتولى نظام أسماء النطاقات، أو DNS، إنجاز هذه الترجمة.
في العملية المعتادة، يسلّم الجهاز السؤال إلى مُحلِّل تكراري. ويمكن لهذا الأخير أن يجيب باستخدام معلومات مخزنة في الذاكرة المؤقتة (cache) أو أن يستعلم من خوادم أخرى حتى يحصل على الإجابة. تجعل الذاكرة المؤقتة المسار الفعلي متفاوتاً، غير أن الوظيفة الأساسية تظل ثابتة: حل الاسم المطلوب.
هنا، يشير "DNS الخاص" إلى حماية استعلامات المستخدم. وتُستخدم هذه العبارة أيضاً لوصف مناطق DNS الداخلية لشركة أو مؤسسة، وهو أمر مختلف.
لا تكمن مشكلة الخصوصية في كون اسم النطاق سراً؛ فالعديد من سجلات DNS عامة. بل يكمن الجانب الحساس في إمكانية الربط بين ما تم الاستعلام عنه، ومصدره، وتوقيته. وتوضح وثيقة RFC 9076 حول اعتبارات خصوصية DNS أن الاستعلامات وأنماطها يمكن ربطها بأشخاص أو أجهزة بعينها.
فكرة أساسية: قد يكون النطاق عاماً، ومع ذلك، فإن تسلسل استعلامات شخص ما يشكل معلومة خاصة.
كما أن الاستعلام المنفرد لا يثبت في حد ذاته أن شخصاً ما قد زار صفحة معينة، ولا يكشف بالضرورة عن نيته؛ فالتطبيقات تجري استعلامات في الخلفية، وقد تستدعي صفحة واحدة عدة نطاقات، وجزء من المعلومات قد يأتي من ذاكرة التخزين المؤقت. ومع ذلك، فإن تتابع الاستعلامات يمكن أن يشير إلى عادات وأوقات استخدام، أو خدمات مستعملة، أو اهتمامات حساسة.
من يمكنه مراقبة ماذا
من المفيد التمييز بين الأطراف الفاعلة لأنهم لا يتلقون جميعاً نفس المعلومات ولا يشغلون الموقع ذاته في السلسلة.
في نظام DNS التقليدي غير المشفر، يستطيع أي طرف قادر على مراقبة الشبكة بين الجهاز والمُحلِّل —كمشغل شبكة محلية أو مزود خدمة إنترنت— قراءة الاستعلامات التي تمر عبر ذلك المقطع أو التدخل فيها. وتعتمد الرؤية الفعلية على الإعدادات والمسار الحقيقي للبيانات.
أما المُحلِّل فيوجد في موقع مختلف؛ فهو يحتاج إلى تلقي السؤال للإجابة عنه، ومن ثم يحتفظ بإمكانية الاطلاع المحتمل على الاستعلامات التي يعالجها. ويمكنه الاحتفاظ بسجلات أو تطبيق تدابير للحد الأدنى من البيانات؛ ويعتمد ذلك على تصميمه التقني وعلى ممارسات المشغل في آن واحد.
وفي مرحلة لاحقة، تظهر الخوادم المعتمدة (authoritative servers)، المسؤولة عن معلومات النطاقات. وتعمل تقنيات مثل الحد الأدنى لاسم الاستعلام (QNAME minimization)، الموضحة في وثيقة RFC 9156، على تقليل الجزء المكشوف من الاسم لخوادم معينة أثناء عملية الحل. لكنها لا تخفي الاستعلام عن المُحلِّل الذي سلمناه إياه.
وهذا التمييز مهم: إذ يمكن لتدبير ما أن يحمي من المراقبين في مسار النقل دون أن يحمي في مواجهة المتلقي الفعلي للاستعلام.
ما الذي يغيره DoT وDoH
أشهر شكلين لنظام DNS المشفر هما DNS عبر TLS (DoT) وDNS عبر HTTPS (DoH). وكلاهما ينشئ قناة مشفرة بين العميل ومُحلِّل متوافق، رغم اعتمادهما على وسائط نقل مختلفة.
يرسل DoT رسائل DNS داخل اتصال TLS. وتحدد وثيقة RFC 7858 هذه الآلية وتخصص المنفذ 853 افتراضياً. أما DoH، المعرّف في وثيقة RFC 8484، فيتبادل استعلامات وإجابات DNS عبر HTTPS مع نقطة نهاية مهيأة.
وفي كلتا الحالتين، يُصعّب التشفير على المراقب السلبي الموجود بين الجهاز والمُحلِّل قراءة محتوى الاستعلام. كما يوفر حماية ضد التعديل في تلك القناة عندما تتم مصادقة الاتصال على نحو صحيح.
ولا يترتب على ذلك أن DoH أكثر خصوصية دائماً من DoT، ولا العكس. فالخصوصية الفعلية تعتمد على طريقة التنفيذ، والبيانات الوصفية المتاحة، والمُحلِّل المختار، والمخاطر المراد الحد منها. علاوة على ذلك، يعمل DoH في بيئة HTTP وقد يشارك بعض مخاطر الارتباط والربط الخاصة بها.
تمييز مفيد: يحمي DoT وDoH مسار الاستعلام، لكنهما لا يشفران تلقائياً جميع المراحل اللاحقة لعملية الحل ولا حركة مرور التصفح بأكملها.
ولا ينبغي كذلك الخلط بينهما وبين DNSSEC؛ إذ يساعد هذا الأخير في التحقق من صحة بيانات DNS وسلامتها، لكن ليس من أهدافه إخفاء الاستعلامات. فالخصوصية والسلامة وصحة المصدر تعالج مشكلات مترابطة، لكنها غير قابلة للاستبدال أو التبادل فيما بينها.
ما لا يخفيه نظام DNS المشفر
إن هذا التحسين حقيقي تحديداً لأنه يمكن وصفه دون مبالغة. فنظام DNS المشفر له حدود عدة:
- يتلقى المُحلِّل الاستعلام. تمنع القناة الأطراف الثالثة من قراءته بسهولة أثناء ذلك المسار، لكن الخدمة التي تتولى حله بحاجة إلى معرفته.
- استمرار وجود بيانات وصفية أخرى. يظل بإمكان مزود خدمة الإنترنت رؤية عناوين IP، وأحجام البيانات، وتوقيتات الاتصال ومدته، حتى وإن لم يعد يقرأ محتوى DNS المحمي.
- حركة المرور اللاحقة مسألة أخرى. حل اسم النطاق والاتصال بالخدمة عمليتان متمايزتان؛ وتشفير العملية الأولى لا يحمي بذاته العملية الثانية بأكملها.
- يبقى الترابط والربط ممكناً. قد تتيح أوقات الاتصالات وأنماطها استخلاص استنتاجات، لا سيما عند دمج مصادر بيانات مختلفة.
- لا يمنح عدم الكشف عن الهوية. لا يفصل تشفير DNS بالضرورة بين الاستعلام وبين الهوية، أو الحساب، أو عنوان IP، أو الجهاز الذي أصدره.
- لا يضمن تفادي الرقابة أو البرمجيات الخبيثة أو التتبع. تتطلب هذه المشكلات تدابير مختلفة وتعتمد على طبقات أكثر في النظام.
على سبيل المثال، يمكن للمرء أن يصعّب على مشغل شبكة محلية قراءة النطاق الحساس الذي يستعلم عنه. ومع ذلك، يتلقى المُحلِّل المختار ذلك الطلب، ويلاحظ مزود خدمة الإنترنت اتصالاً لاحقاً بعنوان IP محدد. يرى كل طرف جزءاً مختلفاً؛ ولا توجد أداة منفردة قادرة على محو جميع الآثار.
تحذير: تصف كلمة "مشفر" كيفية حماية القناة، لكنها لا تجيب وحدها عن تساؤلات من يحتفظ بالبيانات، وكم من الوقت يحتفظ بها، ومع من يشاركها.
التشفير يعني أيضاً اختيار من نثق به
عند استبدال مُحلِّل الشبكة بخدمة أخرى، فإن الثقة لا تختفي: بل تنتقل. فقد ينخفض مستوى الانكشاف أمام الشبكة المحلية أو مزود خدمة الإنترنت، وفي الوقت ذاته، تتركز مجموعة من الاستعلامات لدى مشغل جديد.
لا يعني هذا أن أي تغيير هو أمر عديم الفائدة، بل يعني أن التقييم لا يمكن أن يقف عند مجرد وجود رمز القفل أو اسم البروتوكول. وتؤكد وثيقة RFC 8932، الموجهة لمشغلي خدمات خصوصية DNS، على أهمية ممارسات مثل تقليل البيانات إلى الحد الأدنى، والاحتفاظ المحدود بها، والشفافية.
ومن منظور الحرية الفردية، تتمثل المسألة الجوهرية في التحكم المستنير بالبيانات القادرة على وصف سلوكنا. ويتطلب هذا التحكم وجود خيارات، إلى جانب معلومات مفهومة عن الوسطاء. ويكون الخيار التقني حقيقياً عندما يتسنى للمرء معرفة ما يحميه، وما يقدمه في المقابل، وما هي المخاطر التي تظل قائمة.
كيف تقيّم خياراً لنظام DNS الخاص
لا توجد إجابة واحدة تناسب الجميع لأن كل شخص يواجه أطرافاً ومخاطر مختلفة. وقبل اختيار تهيئة معينة أو مُحلِّل محدد، يحسن طرح بعض الأسئلة:
- في مواجهة من أبحث عن الحماية؟ تختلف شبكة الواي فاي المشتركة عن مزود خدمة الإنترنت، أو المُحلِّل نفسه، أو خصم قادر على الربط بين حركات المرور.
- أي مقطع يتم تشفيره؟ ينبغي التحقق مما إذا كان الجهاز أو التطبيق يستخدم بالفعل DoT أو DoH حتى المُحلِّل المنشود، وماذا يحدث عند فشل الاتصال المحمي.
- ما البيانات التي يحتفظ بها المشغل؟ تعد السجلات، وفترة الاحتفاظ بها، والغاية المعلنة، وشروط مشاركة المعلومات أموراً مهمة.
- كيف يتم تمويل الخدمة وإدارتها؟ تساعد الحوافز والمساءلة في تقييم ما إذا كانت سياسة الخصوصية موثوقة.
- أين تعمل الخدمة وتحت أي قواعد؟ قد يؤثر النظام القانوني المعمول به في الالتزامات القانونية وإمكانات الطعن أو المراجعة.
- هل تركز الخدمة معلومات أكثر من اللازم؟ قد تقدم خدمة واسعة الانتشار قدرة تقنية، لكنها تجمع في الوقت نفسه استعلامات مستخدمين كثر في نقطة واحدة.
تشكل هذه الأسئلة نموذج تهديد مصغراً: فهي تحدد المعلومات التي نريد حمايتها، ومن يمكنه الحصول عليها، وما التكلفة أو التعقيد الذي نحن على استعداد لتحمله. كما أنها تجنب اختيار أداة بناءً على وعد مجرد بـ "أقصى درجات الخصوصية".
طبقة مفيدة، لا طبقة سحرية
لا تعني خصوصية DNS إخفاء وجود النطاقات، بل تعني الحد من انكشاف الاستعلامات وتصعيب ربطها بشخص أو جهاز من قبل أطراف ثالثة. ويساعد كل من DoT وDoH في حماية المسار حتى المُحلِّل؛ بينما تعالج تدابير أخرى سلامة البيانات، أو حركة المرور اللاحقة، أو تقليل البيانات في مراحل مختلفة.
ويعتمد القرار العقلاني على طبيعة الخطر الفعلي. فبالنسبة لشخص متصل بشبكات لا يتحكم فيها، يمكن لتشفير الاستعلامات أن يقلل من الانكشاف المباشر. وبالنسبة لمن يخشى تراكم السجلات، ستكون سياسة المُحلِّل على نفس قدر أهمية البروتوكول. وأمام خصوم يمتلكون القدرة على الربط بين البيانات، سيكون من الضروري اتخاذ تدابير حماية إضافية.
تُبنى الخصوصية الرقمية في طبقات. ويعد نظام DNS المشفر إحداها: فهو ذو قيمة عندما يُفهم بدقة، وغير كافٍ عندما يُخلط بينه وبين الاختفاء التام.
مشاركة