Saya tidak tahu ISP saya bisa melihat setiap situs web yang saya kunjungi sampai saya memeriksa pengaturan ini

Minggu lalu saya menelepon ISP saya tentang koneksi fiber yang tidak stabil, dan di tengah-tengah panggilan, petugas dengan santai membaca merek router saya, versi firmware, dan kedua nama jaringan Wi-Fi saya. Saya tidak memberi tahu mereka tentang itu. Saya duduk sebentar mencoba mencari tahu bagaimana mereka tahu, dan kemudian pertanyaan lanjutan yang tidak nyaman muncul: jika mereka bisa melihat itu, apa lagi yang mereka lihat? Sejauh mana pandangan mereka sebenarnya menjangkau ke jaringan saya?

Ini membuat saya penasaran, dan setelah sedikit penyelidikan, rincian router ternyata menjadi bagian yang paling tidak menarik, karena setiap situs web yang saya kunjungi melewati resolver DNS ISP saya secara teks biasa. Setiap pencarian, setiap domain, ditandai dengan IP dan cap waktu saya. Saya sebelumnya mengira HTTPS melindungi saya. Ternyata tidak. Dan perbaikannya ternyata hanya satu pengaturan yang sebelumnya tidak pernah saya periksa di salah satu PC saya.

ISP Anda dapat melihat setiap domain yang Anda kunjungi secara default

Lapisan DNS adalah titik lemah dalam koneksi Anda

Setiap kali saya membuka situs web atau meluncurkan aplikasi, ponsel atau PC saya harus menerjemahkan nama domain seperti youtube.com menjadi alamat IP. Terjemahan itu adalah pencarian DNS, dan secara default, itu langsung pergi ke resolver ISP saya secara terbuka. Mereka melihat cap waktu, IP publik saya, dan nama host yang tepat. Lakukan itu beberapa ribu kali sehari di setiap perangkat di rumah, dan Anda akan mendapatkan gambaran yang rinci.

Yang menarik adalah betapa banyak yang bisa diungkapkan oleh log itu tanpa menyentuh satu halaman konten pun. Celah dan lonjakan dalam lalu lintas DNS menunjukkan kapan saya bangun, kapan saya tidur, dan kapan saya meninggalkan rumah. Domain-domain tersebut memberi petunjuk tentang bank saya, layanan streaming saya, situs kesehatan yang pernah saya cek, dan setiap perangkat pintar di jaringan saya yang terus mengirim informasi. Ini bukan hanya riwayat browser, tetapi setiap aplikasi di setiap perangkat, direkam secara sentral, dan kebanyakan orang tidak pernah menyentuh DNS default yang diberikan router mereka.

HTTPS mengenkripsi halaman, bukan pencarian

Mengapa gembok di browser Anda bukanlah seluruh ceritanya

Kebanyakan orang berpikir ikon gembok di browser Anda menandakan akhir dari percakapan. Jika sebuah situs dimuat melalui HTTPS, kontennya dienkripsi, sehingga ISP tidak dapat membaca halaman yang Anda buka atau formulir yang sedang Anda isi. Bagian itu masih benar. Yang juga benar adalah bahwa pencarian DNS terjadi sebelum koneksi terenkripsi itu bahkan dimulai.

Jadi sementara ISP saya tidak bisa melihat video spesifik mana yang saya tonton atau artikel mana yang saya baca, mereka pasti bisa melihat bahwa saya menghubungi YouTube, situs berita tertentu, atau sumber daya kesehatan mental. Nama host juga cenderung bocor dalam TLS handshake melalui sebuah bidang yang disebut SNI, kecuali jika browser dan situs saya mendukung fitur baru yang disebut Encrypted ClientHello. Sebagian besar belum mendukung.

Hasil akhirnya adalah bahwa HTTPS saja memberi saya privasi konten, tetapi tidak privasi metadata. ISP saya tidak perlu membaca halaman tersebut untuk membuat profil rutinitas dan minat saya, karena domainnya sudah cukup mengungkapkan.

Resolver yang terenkripsi dan menyaring memperbaiki kedua masalah

Tukar resolver, dan ISP menjadi gelap

Solusinya adalah dengan berhenti menggunakan DNS ISP saya sepenuhnya dan mengarahkan pencarian melalui resolver terenkripsi yang juga memfilter sampah. Setelah kueri dienkripsi dengan DNS-over-TLS atau DNS-over-HTTPS, ISP saya melihat aliran yang buram ke resolver alih-alih daftar domain yang dapat dibaca. Pemfilteran di atas itu memblokir server iklan, pelacak, dan domain berbahaya yang dikenal sebelum perangkat saya pernah terhubung.

Jalur termudah adalah pengaturan per-perangkat. Di Android, saya mengganti DNS Pribadi saya ke dns.nextdns.io di Pengaturan > Jaringan & internet > DNS Pribadi, yang memungkinkan saya memilih secara tepat apa yang diblokir melalui dasbor. Di Windows, saya mengarahkan adaptor saya ke Quad9 (9.9.9.9) setelah membandingkannya dengan DNS ISP saya dan melihatnya lebih cepat dan lebih aman.

Sekarang, jika Anda menginginkan cakupan untuk seluruh rumah, pilihan yang lebih bersih adalah mengganti DNS di tingkat router sehingga setiap perangkat, termasuk TV pintar dan perangkat IoT, mewarisinya secara otomatis. Untuk ini, Anda bisa memilih opsi seperti NextDNS yang memberikan kontrol yang rinci dan penyaringan untuk orang tua, yang kebanyakan resolver gratis tidak tawarkan, dan tingkat gratisnya mencakup rumah tangga normal.

Penyaringan DNS memiliki batasan nyata

Apa yang tidak bisa diblokir, dan di mana ia kurang

Saya tidak ingin melebih-lebihkan ini. Penyaringan DNS adalah peningkatan besar, tetapi masih memiliki keterbatasannya.

Kesenjangan terbesar adalah iklan dari domain yang sama. YouTube, Twitch, Netflix, Hulu, dan TikTok semua menayangkan iklan mereka dari domain yang sama dengan konten. Sebuah filter tidak bisa memblokir iklan tanpa merusak seluruh layanan, jadi iklan dalam aliran tetap lolos begitu saja. Pemblokir iklan berbasis browser masih penting untuk jenis lalu lintas itu.

Beberapa perangkat juga mengabaikan DNS apapun yang Anda setel. Misalnya, Chromecast, kotak TV Android, dan beberapa TV pintar tertentu menyematkan DNS Google atau Cloudflare dan diam-diam melewati pengaturan router saya. Satu-satunya solusi yang dapat diandalkan adalah memblokir IP yang disematkan tersebut di firewall, yang sebagian besar router konsumen tidak memudahkan.

Akhirnya, DNS terenkripsi bukanlah VPN. Bahkan dengan pencarian yang disembunyikan, ISP saya masih bisa melihat IP tujuan yang terhubung oleh perangkat saya dan, dalam kebanyakan kasus, hostname SNI dalam handshake. Untuk privasi metadata sepenuhnya, saya membutuhkan VPN atau Tor di atasnya. Penyaringan DNS hanya menutup kebocoran terbesar dan termudah.

Penyedia layanan internet Anda tidak perlu mengetahui kebiasaan menjelajah Anda

Pengaturan saya saat ini adalah NextDNS di router untuk seluruh rumah, ditambah Quad9 pada perangkat yang saya bawa bepergian. Kombinasi ini memberikan penyaringan di setiap perangkat di rumah, cadangan yang berfokus pada privasi saat saya menggunakan data seluler, dan hampir tanpa pemeliharaan yang berkelanjutan. Ini adalah hal yang paling mendekati peningkatan privasi dengan metode pasang-dan-lupakan yang pernah saya temukan.