DNS-over-HTTPS: приватность, которой нет

Вы шлёте письма в непрозрачных конвертах. Курьер не может прочитать ни строчки. Вы спокойны.

А теперь представьте: курьер взвешивает каждый конверт. Фиксирует частоту отправки. Записывает время. И по этим трём параметрам угадывает содержимое с точностью 95%.

Это не аллегория. Это буквально то, что происходит с DNS-over-HTTPS в 2025 году.

Коротко: DoH шифрует DNS-запросы, но размер и тайминг зашифрованных пакетов сдают посещаемые сайты с точностью 95%. Шифрование ≠ приватность.

Конверт выдаёт всё

DNS-over-HTTPS создавали ради одной цели: закрыть провайдеру глаза на ваши DNS-запросы. Вы набираете URL, компьютер спрашивает у DNS-сервера IP-адрес. Открытым текстом. По UDP. На порт 53. Провайдер всё видит. Работодатель тоже. Да вообще любой, кто сидит с вами в одной Wi-Fi-сети кафешки. DNS, по сути, самый болтливый протокол в стеке TCP/IP: выкладывает о вас всё подряд, и ему за это ничего не прилетает.

DoH берёт запрос, заворачивает в HTTPS, отправляет на порт 443 как обычный web-трафик. Провайдер видит подключение к 1.1.1.1. Что именно вы спросили, он не знает.

Задача решена? Как бы не так.

В 2020 году группа из Epfl во главе с Siby et al. опубликовала на NDSS 2020 первое масштабное исследование: DoH уязвим к traffic analysis. DNS-трафик резко отличается от обычного HTTPS. Он короче, пульсирует характерными пачками, несёт своё распределение размеров пакетов. Даже зашифрованный, он кричит о себе.

Через два года метод DePL на IEEE 2022 довёл атаку до абсурда. 95% точности при определении сайтов по DoH-трафику. По данным серии смежных работ, хватает примерно 50 пакетов при базе до 10 000 сайтов. Всё, что нужно атакующему: размеры пакетов, тайминги, направление передачи.

Пятьдесят пакетов. Вы открыли страницу, браузер послал десяток DNS-запросов на основной домен, CDN, аналитику, шрифты, трекеры. Наблюдатель уже знает, куда вы зашли. Не потому что прочитал запрос. У каждого сайта свой уникальный каскад DNS-обращений: nytimes.com, потом static01.nyt.net, потом pnytimes.chartbeat.net, и дальше по цепочке. Эта последовательность работает как fingerprint. Тот же принцип, что у поведенческого фингерпринтинга по движениям мыши, только для DNS.

Латали, латали, а течёт

Первое, что приходит в голову: паддинг. RFC 8467 как раз это и предлагает. Дополнять пакеты до стандартного размера, чтобы все конверты выглядели одинаково.

Bushart и Rossow на USENIX FOCI 2020 проверили идею. Название их статьи говорит само за себя: Padding Ain't Enough. Паддинг помогает, но не спасает. В 2022 году ScienceDirect подтвердил: даже с паддингом точность атаки держится выше 95%.

Ладно, решили инженеры. Если форму конверта не спрятать, спрячем отправителя. Так родился ODoH, он же Oblivious DNS-over-HTTPS. Схема красивая: между вами и DNS-резолвером стоит proxy. Proxy знает, кто вы, но не знает, что спрашиваете. Резолвер знает, что спрашиваете, но не знает, кто вы. Классическое разделение знаний.

На бумаге блеск. На деле пустышка.

В 2025 году Salari, Kumar, Rinaudi, Tourani, Sacco и Esposito опубликовали через IEEE DSN первое академическое исследование приватности ODoH. Результат был предсказуем: fingerprinting работает. Локальный наблюдатель, будь то провайдер, работодатель или VPN-оператор, видит трафик между вами и proxy. Паттернов этого трафика хватает для определения сайтов. Proxy не умеет скрывать то, что скрыть нельзя: форму конвертов. Он пересылает их как есть, со всеми характерными размерами и интервалами.

DNS-over-QUIC? Протокол новее, быстрее, моднее. Проблемы те же самые. Исследования IEEE 2025 и Icaiic 2024 показали: 174 характеристики потока вроде времени между пакетами, их количества и длины хватает для распознавания сайтов через модели-трансформеры. DoQ не решил проблему. Он её унаследовал.

И контрольный в голову. Допустим, вы зашифровали вообще всё. DNS, SNI через ECH, сертификаты. Глухо как в танке. Но Hoang et al. в PoPETs 2021 показали: IP-адреса серверов, к которым вы подключаетесь, всё равно вас палят. 84% из 200 000 сайтов определяются по одному лишь IP назначения. Для популярных сайтов цифра 92%. Для популярных и чувствительных 95%. Шифрование бессильно, когда адрес на конверте написан снаружи.

Метод защиты	Обещание	Точность атаки
DoH без паддинга	Шифрование DNS	95%, DePL, IEEE 2022
DoH и RFC 8467 паддинг	Скрытие размера пакетов	95%+, ScienceDirect, 2022
ODoH через Oblivious relay	Анонимность отправителя	Работает, IEEE DSN, 2025
DoQ, DNS-over-QUIC	Быстрый шифрованный DNS	Работает, IEEE, 2025
Полный DoH и ECH	Тотальное шифрование	84–95% по IP, PoPETs, 2021

Дуополия вместо приватности

Есть ещё одна ирония, которую в контексте фингерпринтинга никто не поднимает.

DoH должен был рассредоточить приватность DNS. На деле вышло наоборот. Львиная доля DoH-трафика уходит на два адреса: Cloudflare 1.1.1.1 и Google 8.8.8.8. Вместе с OpenDNS и 114DNS четвёрка контролирует более 90% открытых резолверов по данным Apnic за 2022 год. Протокол, задуманный как щит от провайдерской слежки, слил историю просмотров двум корпорациям. Вы поменяли одного наблюдателя на другого. Браво.

Дальше хуже. Сам факт использования DoH это уже метаданные. Трафик идёт на порт 443 по адресу 1.1.1.1. Провайдер не прочитает запрос, зато видит, что вы пользуетесь шифрованным DNS. RFC 8467 честно признаёт: определить, что наблюдаемый трафик является DNS, может быть тривиально. Вы теперь в более узкой группе анонимности. Вы выделяетесь из толпы.

В корпоративной среде ситуация ещё занятнее. Предприятия держат внутренний DNS для доменов .corp и .local. DoH обходит его, отправляя внутренние запросы прямиком на Cloudflare. Это ломает внутренние сервисы и бонусом сливает названия корпоративных доменов стороннему резолверу. Firefox выключает DoH, когда видит корпоративные политики. Но сам этот переключатель, ещё один fingerprint. Вы либо в группе с включённым DoH, либо в группе, где Firefox его вырубил из-за enterprise-политик. Обе группы меньше, чем всё множество интернет-пользователей.

И напоследок. Если ваш IP указывает на Германию, а DNS-резолвер сидит в США, это сигнал. Расхождение геолокации DNS и IP это классический маркер VPN или proxy. WHOX ловит это автоматически через check C07.

---

WHOX - Отличаем настоящие сигналы от сфабрикованных. Проверьте свой отпечаток на whox.com и узнайте какие сигналы утекают из вашего браузера и насколько вы уникальны.

FAQ

DoH вообще бесполезен? Нет. Он защищает от самого примитивного перехвата: сосед по Wi-Fi, корпоративный админ без DPI. Против серьёзного наблюдателя с доступом к вашему каналу DoH не вывезет.

Что лучше: DoH, DoT или DoQ? Для защиты от traffic analysis разница мизерная. Все три ложатся под metadata fingerprinting. DoQ быстрее, DoH лучше проскакивает firewall-ы, DoT проще в настройке. Ни один не решает корневую проблему: форма трафика сдаёт его содержимое.

Tor решает проблему? Отчасти. Tor гоняет трафик через несколько узлов и добавляет шум. Анализ усложняется, но не становится невозможным. К тому же Tor тащит свои головные боли: скорость, совместимость, и тот факт, что exit-ноды видят DNS открытым текстом, если не использовать DoH поверх Tor.

А если VPN и DoH одновременно? VPN прячет от провайдера, куда идёт трафик. DoH шифрует DNS внутри туннеля. Звучит надёжно. Но теперь VPN-провайдер видит ваш DoH-трафик и может провести тот же анализ метаданных. Вы не убрали наблюдателя, а заменили его. Весь вопрос в том, кому доверяете больше: провайдеру или VPN-сервису за $5 в месяц.

Как тогда реально защититься? Идеального рецепта нет. Связка VPN и DoH и ECH усложняет жизнь наблюдателю, но не затыкает все дыры. Каждый слой поднимает стоимость атаки. Ни один не делает её невозможной. Единственная настоящая защита: знать, какие данные о вас доступны. Начните с аудита.

---

Читайте также

• Серверный фингерпринтинг: что видит сайт без JavaScript
• WebRTC и DNS-утечки: как VPN вас выдаёт
• Что реально работает: гайд по защите