El Sistema de Nombres de Dominio (DNS) ha sido durante mucho tiempo una de las fuentes de datos más valiosas para la interceptación legal y la inteligencia de red. Las consultas al DNS revelan qué sitios web visita un usuario, a qué servicios accede y qué aplicaciones utiliza, todo ello sin necesidad de acceder al contenido de la propia comunicación. Durante décadas, el tráfico DNS se ha transmitido en texto claro, lo que lo hacía fácilmente accesible a la interceptación a nivel de red. La aparición de protocolos DNS cifrados —DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT)— está cambiando radicalmente este panorama, con importantes implicaciones para las capacidades de interceptación legal.
Este artículo analiza cómo funcionan el DoH y el DoT, por qué se están adoptando, cómo afectan a la interceptación legal y qué pueden hacer los operadores para cumplir con sus obligaciones de cumplimiento normativo en un entorno en el que el tráfico DNS está cada vez más cifrado.
El reto del DNS cifrado para los operadores
La resolución DNS tradicional utiliza el puerto UDP 53 y transmite las consultas y respuestas en texto sin cifrar. Cualquier persona con acceso a la ruta de red entre el usuario y el servidor DNS —incluidos el operador, los elementos de red intermedios y los posibles intrusos— puede observar las consultas DNS y determinar qué nombres de dominio está resolviendo el usuario.
El DNS sobre TLS (DoT), definido en el RFC 7858, cifra el tráfico DNS envolviéndolo en una conexión TLS en el puerto TCP 853. Las consultas y respuestas DNS se cifran durante la transmisión, lo que impide que los intermediarios puedan observarlas. Sin embargo, el uso de un puerto dedicado (853) hace que el tráfico DoT sea identificable a nivel de red: un observador puede determinar que se está produciendo una resolución DNS, aunque el contenido de las consultas esté cifrado.
El DNS sobre HTTPS (DoH), definido en el RFC 8484, lleva el cifrado un paso más allá al canalizar el tráfico DNS a través de conexiones HTTPS estándar en el puerto TCP 443. Dado que el tráfico DoH es indistinguible del tráfico web HTTPS habitual, resulta extremadamente difícil identificarlo y bloquearlo a nivel de red. El DoH oculta eficazmente la resolución DNS dentro del enorme volumen de tráfico web cifrado que atraviesa las redes modernas.
Ambos protocolos están diseñados para proteger la privacidad de los usuarios al impedir que los intermediarios de red puedan observar las consultas DNS. Los principales fabricantes de navegadores —entre ellos, Mozilla Firefox y Google Chrome— han implementado la compatibilidad con DoH, y algunos sistemas operativos ya admiten DoH y DoT de forma nativa. La adopción del DNS cifrado se está acelerando, impulsada por la defensa de la privacidad, la configuración predeterminada de los navegadores y la tendencia generalizada hacia el cifrado de todo el tráfico de red.
El impacto en la interceptación legal
El cifrado del tráfico DNS tiene un impacto directo y significativo en las capacidades de interceptación legal. Los datos de las consultas DNS han sido tradicionalmente un componente clave de la información relacionada con la interceptación, ya que proporcionan a los investigadores un registro detallado de la actividad en línea del objetivo. Cuando un objetivo visita un sitio web, envía un correo electrónico o utiliza una aplicación, las consultas DNS correspondientes revelan los nombres de dominio implicados, incluso cuando el contenido de la comunicación está cifrado.
Con DoH y DoT, los operadores ya no pueden observar las consultas DNS a nivel de red si el dispositivo del destinatario está configurado para utilizar un resolutor DNS cifrado que no sea gestionado por el operador. El proceso de resolución de DNS está cifrado de extremo a extremo entre el dispositivo y el resolutor, y los equipos de red del operador no pueden descifrar las consultas sin tener acceso a las claves de sesión TLS.
Esta pérdida de visibilidad del DNS afecta tanto a la interceptación en tiempo real como al análisis de datos históricos. En la interceptación en tiempo real, el IRI generado para la sesión de datos de un objetivo carecerá de la información de las consultas DNS que antes proporcionaba contexto sobre la actividad en línea del objetivo. En el análisis histórico, la ausencia de registros DNS reduce la capacidad del operador para reconstruir el historial de navegación y los patrones de uso de los servicios de un objetivo a partir de los datos conservados.
El impacto es más grave cuando el destinatario utiliza un resolutor DoH de terceros —como los que gestionan Cloudflare, Google u otros proveedores— en lugar de la propia infraestructura DNS del operador. En este caso, las consultas DNS se resuelven íntegramente fuera de la red del operador, y este no tiene acceso alguno a ellas. Si el destinatario utiliza el propio resolutor DNS del operador con DoT o DoH, el operador conserva el acceso a los datos de las consultas a nivel del resolutor, pero no en los puntos intermedios de la red.
Estrategias de mitigación para los operadores
Los operadores no pueden impedir la adopción del DNS cifrado, pero sí pueden aplicar estrategias para mitigar su impacto en la interceptación legal. La primera estrategia consiste en gestionar sus propios resolutores DoH y DoT y animar o exigir a sus abonados que utilicen dichos resolutores. Si el operador controla el resolutor DNS, conserva el acceso a los datos de las consultas DNS, incluso cuando el tráfico entre el dispositivo y el resolutor está cifrado. Este enfoque preserva la visibilidad del DNS al tiempo que sigue ofreciendo a los abonados las ventajas de privacidad que ofrece el DNS cifrado frente a la observación por parte de terceros.
La segunda estrategia consiste en utilizar fuentes de datos alternativas para reconstruir la información que antes proporcionaban las consultas DNS. La indicación del nombre del servidor (SNI) en los handshakes de TLS proporciona el nombre de dominio del servidor al que se conecta el cliente, y esta información se ha transmitido tradicionalmente en texto plano. Sin embargo, la adopción de Encrypted Client Hello (ECH, anteriormente ESNI) está empezando a cifrar también la SNI, lo que reduce aún más la visibilidad. El análisis de direcciones IP también puede proporcionar cierta información sobre a qué servicios está accediendo un objetivo, pero el uso generalizado de las redes de distribución de contenidos (CDN) y el alojamiento compartido hace que la correspondencia entre direcciones IP y dominios sea a menudo ambigua.
La tercera estrategia consiste en llevar a cabo la interceptación en la capa de aplicación o a nivel de dispositivo, en lugar de basarse únicamente en los datos a nivel de red. Este enfoque va más allá del ámbito de la interceptación tradicional de las telecomunicaciones, pero algunas fuerzas del orden lo están estudiando como respuesta al creciente cifrado del tráfico de red. Para los operadores, esta no es una solución práctica, pero forma parte del contexto más amplio en el que debe entenderse el DNS cifrado.
Una cuarta estrategia pasa por la intervención normativa y política. Algunos gobiernos han barajado o aplicado requisitos para que los operadores bloqueen el acceso a resolutores DNS de terceros o exijan el uso de la propia infraestructura DNS del operador. Estos enfoques son controvertidos y plantean dudas sobre la neutralidad de la red, la libertad de los usuarios y la viabilidad técnica, pero representan una respuesta política al reto que plantea el DNS cifrado.
La tendencia general hacia el cifrado
El DNS cifrado forma parte de una tendencia más amplia hacia el cifrado de todo el tráfico de red, impulsada por cuestiones de privacidad, las mejores prácticas de seguridad y las configuraciones predeterminadas de las principales plataformas de software. TLS 1.3, ECH, QUIC y otras tecnologías están cifrando progresivamente una mayor parte de los metadatos y el contenido en los que tradicionalmente se ha basado la interceptación a nivel de red. Cada paso en esta tendencia hacia el cifrado reduce la visibilidad de que disponen los operadores y, por extensión, la de la interceptación legal.
Los operadores deben reconocer que la visibilidad a nivel de red de la que han disfrutado históricamente está disminuyendo y seguirá disminuyendo. La respuesta a esta tendencia no puede ser meramente técnica: requiere la colaboración con los organismos reguladores, los organismos de normalización y las fuerzas del orden para desarrollar nuevos enfoques de interceptación lícita que tengan en cuenta las realidades de un entorno de red fuertemente cifrado.
Al mismo tiempo, los operadores deben seguir facilitando todos los datos de interceptación que sean técnicamente capaces de proporcionar. El cifrado del DNS no elimina la obligación legal del operador de interceptar; lo que cambia es el alcance de lo que se puede interceptar. Los operadores deben ser transparentes con las fuerzas del orden respecto a estas limitaciones y deben asegurarse de que sus sistemas de interceptación estén actualizados para gestionar adecuadamente la visibilidad reducida, generando IRI que reflejen con precisión lo que está disponible, en lugar de producir datos incompletos o engañosos.
Repercusiones en materia de cumplimiento normativo y presentación de informes
La pérdida de visibilidad del DNS tiene consecuencias en la forma en que los operadores informan sobre sus capacidades de interceptación y en cómo los organismos reguladores evalúan el cumplimiento normativo. Los operadores deberían comunicarse de forma proactiva con su autoridad reguladora nacional sobre el impacto del DNS cifrado en sus capacidades de interceptación, documentando los elementos de datos específicos que ya no están disponibles y las medidas que están adoptando para mitigar dicho impacto.
Es posible que los organismos reguladores de algunas jurisdicciones tengan que actualizar sus requisitos técnicos y expectativas para tener en cuenta la realidad del DNS cifrado. Los operadores pueden desempeñar un papel constructivo en este proceso aportando sus conocimientos técnicos y su experiencia práctica para orientar el desarrollo de la normativa. El peor resultado para todas las partes sería que la normativa exigiera a los operadores que facilitaran datos a los que no pueden acceder técnicamente, una situación que generaría un riesgo de incumplimiento normativo sin aportar ningún valor a la investigación.
Conclusión
El DNS cifrado supone un cambio significativo en el equilibrio entre la privacidad y la capacidad de vigilancia en las redes de telecomunicaciones. Los protocolos DoH y DoT protegen la privacidad de los usuarios al impedir que los intermediarios de la red puedan observar las consultas DNS, pero también reducen la visibilidad de que disponen los sistemas de interceptación legales. Los operadores deben adaptarse implementando sus propios resolutores DNS cifrados, aprovechando fuentes de datos alternativas, colaborando con los reguladores en la evolución de los requisitos y garantizando que sus sistemas de interceptación legal reflejen con precisión los datos que están realmente disponibles. La tendencia hacia el cifrado integral de la red es irreversible, y los operadores que se adapten de forma proactiva estarán en mejores condiciones para mantener el cumplimiento normativo y proporcionar un apoyo significativo a las fuerzas del orden dentro de las limitaciones del panorama técnico en constante evolución.
El debate en torno al DNS cifrado también pone de relieve la tensión existente entre los derechos de privacidad de las personas y las necesidades legítimas de las fuerzas del orden. Encontrar el equilibrio adecuado requiere la colaboración entre los expertos en tecnología, los responsables políticos, la sociedad civil y las fuerzas del orden. Los operadores se encuentran en la encrucijada de estos intereses y tienen la responsabilidad única de garantizar que las capacidades técnicas, las obligaciones legales y las medidas de protección de la privacidad estén en consonancia. Al participar activamente en el desarrollo de normas, en las consultas regulatorias y en los foros del sector, los operadores pueden contribuir a dar forma a soluciones que respeten la privacidad y, al mismo tiempo, preserven la capacidad de las sociedades democráticas para llevar a cabo una vigilancia lícita de conformidad con el Estado de derecho.
Artículos relacionados
Si desea leer más sobre temas relacionados, consulte estos artículos:
- El «network slicing» en 5G SA: cómo complica (y puede simplificar) la selección de objetivos de LI
- Investigación de casos asistida por IA: qué supone la automatización para los operadores y los flujos de trabajo de las fuerzas del orden
- IRI frente a CC: qué significa en la práctica la información relacionada con la interceptación
Recursos externos
Los siguientes recursos externos proporcionan contexto adicional y documentación oficial:
