O Sistema de Nomes de Domínio (DNS) tem sido, há muito tempo, uma das fontes de dados mais valiosas para a interceção legal e a inteligência de rede. As consultas ao DNS revelam quais os sítios web que um utilizador visita, a que serviços acede e quais as aplicações que utiliza — tudo isto sem que seja necessário aceder ao conteúdo da própria comunicação. Durante décadas, o tráfego DNS foi transmitido em texto simples, tornando-o facilmente acessível à interceção ao nível da rede. O surgimento de protocolos DNS encriptados — DNS sobre HTTPS (DoH) e DNS sobre TLS (DoT) — está a mudar radicalmente este panorama, com implicações significativas para capacidades de interceção legal.
Este artigo analisa o funcionamento do DoH e do DoT, as razões pelas quais estão a ser adotados, o impacto que têm na interceção legal e o que as operadoras podem fazer para cumprir as suas obrigações de conformidade num ambiente em que o tráfego DNS está cada vez mais encriptado.
O Desafio do DNS Encriptado para os Operadores
A resolução DNS tradicional utiliza a porta UDP 53, transmitindo consultas e respostas em texto simples. Qualquer pessoa com acesso ao percurso de rede entre o utilizador e o resolvedor DNS — incluindo o operador, os elementos de rede intermédios e potenciais intrusos — pode observar as consultas DNS e determinar quais os nomes de domínio que o utilizador está a resolver.
O DNS sobre TLS (DoT), definido na RFC 7858, encripta o tráfego DNS envolvendo-o numa ligação TLS na porta TCP 853. As consultas e respostas DNS são encriptadas em trânsito, impedindo a observação por parte de intermediários. No entanto, a utilização de uma porta dedicada (853) torna o tráfego DoT identificável ao nível da rede — um observador pode determinar que está a ocorrer uma resolução DNS, mesmo que o conteúdo das consultas esteja encriptado.
O DNS sobre HTTPS (DoH), definido na RFC 8484, leva a encriptação um passo mais além, canalizando o tráfego DNS através de ligações HTTPS padrão na porta TCP 443. Como o tráfego DoH é indistinguível do tráfego web HTTPS normal, é extremamente difícil identificá-lo e bloqueá-lo ao nível da rede. O DoH oculta eficazmente a resolução DNS no vasto volume de tráfego web encriptado que atravessa as redes modernas.
Ambos os protocolos foram concebidos para proteger a privacidade dos utilizadores, impedindo que os intermediários de rede observem as consultas DNS. Os principais fornecedores de navegadores — incluindo o Mozilla Firefox e o Google Chrome — implementaram o suporte ao DoH, e alguns sistemas operativos já suportam o DoH e o DoT de forma nativa. A adoção do DNS encriptado está a acelerar, impulsionada pela defesa da privacidade, pelas predefinições dos navegadores e pela tendência mais ampla para encriptar todo o tráfego de rede.
O impacto na intercepção legal
A encriptação do tráfego DNS tem um impacto direto e significativo nas capacidades de interceção legal. Os dados das consultas DNS têm sido, tradicionalmente, uma componente fundamental da informação relacionada com a interceção, fornecendo aos investigadores um registo detalhado da atividade online do alvo. Quando um alvo visita um site, envia um e-mail ou utiliza uma aplicação, as consultas DNS correspondentes revelam os nomes de domínio envolvidos, mesmo quando o conteúdo da comunicação está encriptado.
Com o DoH e o DoT, os operadores já não conseguem monitorizar as consultas DNS ao nível da rede se o dispositivo do destinatário estiver configurado para utilizar um resolvedor DNS encriptado que não seja gerido pelo operador. O processo de resolução DNS é encriptado de ponta a ponta entre o dispositivo e o resolvedor, e o equipamento de rede da operadora não consegue desencriptar as consultas sem acesso às chaves de sessão TLS.
Esta perda de visibilidade do DNS afeta tanto a interceção em tempo real como a análise de dados históricos. Na interceção em tempo real, o IRI gerado para a sessão de dados de um alvo não incluirá as informações da consulta DNS que anteriormente forneciam contexto sobre a atividade online do alvo. Na análise histórica, a ausência de registos DNS reduz a capacidade do operador de reconstruir o histórico de navegação e os padrões de utilização de serviços de um alvo a partir de dados conservados.
O impacto é mais acentuado quando o alvo utiliza um resolvedor DoH de terceiros — como os operados pela Cloudflare, pelo Google ou por outros fornecedores — em vez da própria infraestrutura DNS do operador. Neste caso, as consultas DNS são resolvidas inteiramente fora da rede da operadora, e esta não tem qualquer acesso às mesmas. Se o destino utilizar o próprio resolvedor DNS da operadora com DoT ou DoH, a operadora mantém o acesso aos dados das consultas ao nível do resolvedor, mas não em pontos intermédios da rede.
Estratégias de mitigação para os operadores
Os operadores não podem impedir a adoção do DNS encriptado, mas podem implementar estratégias para mitigar o seu impacto na interceção legal. A primeira estratégia consiste em operar os seus próprios resolvedores DoH e DoT e incentivar ou exigir que os seus assinantes utilizem esses resolvedores. Se a operadora controlar o resolvedor DNS, mantém o acesso aos dados das consultas DNS, mesmo quando a transmissão entre o dispositivo e o resolvedor estiver encriptada. Esta abordagem preserva a visibilidade do DNS, ao mesmo tempo que proporciona aos assinantes os benefícios de privacidade do DNS encriptado contra a observação por terceiros.
A segunda estratégia envolve a utilização de fontes de dados alternativas para reconstruir a informação que as consultas DNS forneciam anteriormente. A Indicação do Nome do Servidor (SNI) nos handshakes TLS fornece o nome de domínio do servidor ao qual o cliente se está a ligar, e esta informação tem sido tradicionalmente transmitida em texto simples. No entanto, a adoção do Encrypted Client Hello (ECH, anteriormente ESNI) está a começar a encriptar também a SNI, reduzindo ainda mais a visibilidade. A análise de endereços IP também pode fornecer algumas informações sobre os serviços a que um alvo está a aceder, mas a utilização generalizada de redes de distribuição de conteúdos (CDNs) e de alojamento partilhado significa que o mapeamento de IP para domínio é frequentemente ambíguo.
A terceira estratégia consiste em implementar a interceção na camada de aplicação ou ao nível do dispositivo, em vez de depender exclusivamente de dados ao nível da rede. Esta abordagem vai além do âmbito da interceção tradicional nas telecomunicações, mas está a ser explorada por alguns organismos responsáveis pela aplicação da lei em resposta à crescente encriptação do tráfego de rede. Para os operadores, esta não é uma solução prática, mas faz parte do contexto mais alargado em que o DNS encriptado deve ser entendido.
Uma quarta estratégia envolve o envolvimento a nível regulatório e político. Alguns governos têm vindo a considerar ou a implementar requisitos que obrigam os operadores a bloquear o acesso a resolvedores DNS de terceiros ou a exigir a utilização da infraestrutura DNS do próprio operador. Estas abordagens são controversas e suscitam questões sobre a neutralidade da rede, a liberdade dos utilizadores e a viabilidade técnica, mas representam uma resposta política ao desafio do DNS encriptado.
A tendência geral para o uso da encriptação
O DNS encriptado faz parte de uma tendência mais ampla no sentido da encriptação de todo o tráfego de rede, impulsionada por preocupações com a privacidade, pelas melhores práticas de segurança e pelas configurações predefinidas das principais plataformas de software. O TLS 1.3, o ECH, o QUIC e outras tecnologias estão a encriptar progressivamente uma parte cada vez maior dos metadados e conteúdos nos quais a interceção ao nível da rede tradicionalmente se baseava. Cada passo nesta tendência de encriptação reduz a visibilidade disponível para os operadores e, por extensão, para a interceção legal.
Os operadores devem reconhecer que a visibilidade ao nível da rede de que têm historicamente beneficiado está a diminuir e continuará a diminuir. A resposta a esta tendência não pode ser puramente técnica — exige o envolvimento com as entidades reguladoras, os organismos de normalização e as autoridades responsáveis pela aplicação da lei, a fim de desenvolver novas abordagens à interceção legal que tenham em conta as realidades de um ambiente de rede fortemente encriptado.
Ao mesmo tempo, os operadores devem continuar a fornecer todos os dados de interceção que estejam tecnicamente aptos a disponibilizar. A encriptação do DNS não elimina a obrigação legal da operadora de efetuar a interceção; altera apenas o âmbito do que pode ser interceptado. As operadoras devem ser transparentes com as autoridades responsáveis pela aplicação da lei relativamente a estas limitações e devem garantir que os seus sistemas de LI sejam atualizados para lidar adequadamente com a visibilidade reduzida — gerando IRI que reflitam com precisão o que está disponível, em vez de produzirem dados incompletos ou enganosos.
Implicações em matéria de conformidade e prestação de informações
A perda de visibilidade do DNS tem implicações na forma como as operadoras comunicam as suas capacidades de interceção e na forma como as entidades reguladoras avaliam a conformidade. As operadoras devem comunicar de forma proativa com a sua autoridade reguladora nacional sobre o impacto do DNS encriptado nas suas capacidades de interceção, documentando os elementos de dados específicos que já não estão disponíveis e as medidas que estão a tomar para mitigar esse impacto.
As entidades reguladoras em algumas jurisdições poderão ter de atualizar os seus requisitos técnicos e expectativas para ter em conta a realidade do DNS encriptado. Os operadores podem desempenhar um papel construtivo neste processo, contribuindo com conhecimentos técnicos e perspetivas práticas para orientar o desenvolvimento da regulamentação. O pior cenário para todas as partes seria uma expectativa regulatória de que as operadoras forneçam dados aos quais não têm acesso por motivos técnicos — uma situação que cria um risco de incumprimento sem, no entanto, proporcionar qualquer valor para a investigação.
Conclusão
O DNS encriptado representa uma mudança significativa no equilíbrio entre a privacidade e a capacidade de vigilância nas redes de telecomunicações. O DoH e o DoT protegem a privacidade dos utilizadores, impedindo que os intermediários da rede observem as consultas DNS, mas também reduzem a visibilidade disponível para os sistemas de interceção legal. As operadoras devem adaptar-se implementando os seus próprios resolutores DNS encriptados, tirando partido de fontes de dados alternativas, colaborando com as entidades reguladoras no que diz respeito aos requisitos em evolução e garantindo que os seus sistemas de interceção legal (LI) refletem com precisão os dados que estão efetivamente disponíveis. A tendência para uma encriptação abrangente da rede é irreversível, e as operadoras que se adaptarem de forma proativa estarão melhor posicionadas para manter a conformidade e prestar um apoio significativo às autoridades de aplicação da lei, dentro dos limites do panorama técnico em constante evolução.
O debate em torno do DNS encriptado também destaca a tensão entre os direitos individuais à privacidade e as necessidades legítimas das autoridades responsáveis pela aplicação da lei. Encontrar o equilíbrio certo requer a colaboração entre especialistas em tecnologia, decisores políticos, a sociedade civil e as autoridades responsáveis pela aplicação da lei. Os operadores encontram-se na intersecção destes interesses e têm a responsabilidade única de garantir que as capacidades técnicas, as obrigações legais e as proteções de privacidade estejam alinhadas. Ao participarem ativamente no desenvolvimento de normas, em consultas regulamentares e em fóruns do setor, as operadoras podem ajudar a definir soluções que respeitem a privacidade, preservando simultaneamente a capacidade das sociedades democráticas de realizar vigilância legal, em conformidade com o Estado de direito.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- Network Slicing na rede 5G SA: como complica (e pode simplificar) a segmentação de LI
- LI assistida por IA: O que a automatização significa para os operadores e para os fluxos de trabalho das forças policiais
- IRI vs CC: o que significa na prática a informação relacionada com a interceção
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
