O Sistema de Nomes de Domínio (DNS) tem sido, há muito tempo, uma das fontes de dados mais valiosas para a interceção legal e a inteligência de rede. As consultas ao DNS revelam quais os sítios web que um utilizador visita, a que serviços acede e quais as aplicações que utiliza — tudo isto sem que seja necessário aceder ao conteúdo da própria comunicação. Durante décadas, o tráfego DNS foi transmitido em texto simples, tornando-o facilmente acessível à interceção ao nível da rede. O surgimento de protocolos DNS encriptados — DNS sobre HTTPS (DoH) e DNS sobre TLS (DoT) — está a alterar profundamente este panorama, com implicações significativas para as capacidades de interceção legal.
Este artigo analisa o funcionamento do DoH e do DoT, as razões pelas quais estão a ser adotados, o impacto que têm na interceção legal e o que as operadoras podem fazer para cumprir as suas obrigações de conformidade num ambiente em que o tráfego DNS está cada vez mais encriptado.
O Desafio do DNS Encriptado para os Operadores
A resolução DNS tradicional utiliza a porta UDP 53, transmitindo consultas e respostas em texto simples. Qualquer pessoa com acesso ao percurso de rede entre o utilizador e o resolvedor DNS — incluindo o operador, os elementos de rede intermédios e potenciais intrusos — pode observar as consultas DNS e determinar quais os nomes de domínio que o utilizador está a resolver.
O DNS sobre TLS (DoT), definido na RFC 7858, encripta o tráfego DNS envolvendo-o numa ligação TLS na porta TCP 853. As consultas e respostas DNS são encriptadas em trânsito, impedindo a observação por parte de intermediários. No entanto, a utilização de uma porta dedicada (853) torna o tráfego DoT identificável ao nível da rede — um observador pode determinar que está a ocorrer uma resolução DNS, mesmo que o conteúdo das consultas esteja encriptado.
O DNS sobre HTTPS (DoH), definido na RFC 8484, leva a encriptação um passo mais além, canalizando o tráfego DNS através de ligações HTTPS padrão na porta TCP 443. Como o tráfego DoH é indistinguível do tráfego web HTTPS normal, é extremamente difícil identificá-lo e bloqueá-lo ao nível da rede. O DoH oculta eficazmente a resolução DNS no vasto volume de tráfego web encriptado que atravessa as redes modernas.
Ambos os protocolos foram concebidos para proteger a privacidade dos utilizadores, impedindo que os intermediários de rede observem as consultas DNS. Os principais fornecedores de navegadores — incluindo o Mozilla Firefox e o Google Chrome — implementaram o suporte ao DoH, e alguns sistemas operativos já suportam o DoH e o DoT de forma nativa. A adoção do DNS encriptado está a acelerar, impulsionada pela defesa da privacidade, pelas predefinições dos navegadores e pela tendência mais ampla para encriptar todo o tráfego de rede.
O impacto na intercepção legal
A encriptação do tráfego DNS tem um impacto direto e significativo nas capacidades de interceção legal. Os dados das consultas DNS têm sido, tradicionalmente, uma componente fundamental da informação relacionada com a interceção, fornecendo aos investigadores um registo detalhado da atividade online do alvo. Quando um alvo visita um site, envia um e-mail ou utiliza uma aplicação, as consultas DNS correspondentes revelam os nomes de domínio envolvidos, mesmo quando o conteúdo da comunicação está encriptado.
Com o DoH e o DoT, os operadores já não conseguem monitorizar as consultas DNS ao nível da rede se o dispositivo do destinatário estiver configurado para utilizar um resolvedor DNS encriptado que não seja gerido pelo operador. O processo de resolução DNS é encriptado de ponta a ponta entre o dispositivo e o resolvedor, e o equipamento de rede da operadora não consegue desencriptar as consultas sem acesso às chaves de sessão TLS.
Esta perda de visibilidade do DNS afeta tanto a interceção em tempo real como a análise de dados históricos. Na interceção em tempo real, o IRI gerado para a sessão de dados de um alvo não incluirá as informações da consulta DNS que anteriormente forneciam contexto sobre a atividade online do alvo. Na análise histórica, a ausência de registos DNS reduz a capacidade do operador de reconstruir o histórico de navegação e os padrões de utilização de serviços de um alvo a partir dos dados retidos.
O impacto é mais acentuado quando o alvo utiliza um resolvedor DoH de terceiros — como os operados pela Cloudflare, pelo Google ou por outros fornecedores — em vez da própria infraestrutura DNS do operador. Neste caso, as consultas DNS são resolvidas inteiramente fora da rede da operadora, e esta não tem qualquer acesso às mesmas. Se o destino utilizar o próprio resolvedor DNS da operadora com DoT ou DoH, a operadora mantém o acesso aos dados das consultas ao nível do resolvedor, mas não em pontos intermédios da rede.
Estratégias de mitigação para os operadores
Os operadores não podem impedir a adoção do DNS encriptado, mas podem implementar estratégias para mitigar o seu impacto na interceção legal. A primeira estratégia consiste em operar os seus próprios resolvedores DoH e DoT e incentivar ou exigir que os seus assinantes utilizem esses resolvedores. Se a operadora controlar o resolvedor DNS, mantém o acesso aos dados das consultas DNS, mesmo quando a transmissão entre o dispositivo e o resolvedor estiver encriptada. Esta abordagem preserva a visibilidade do DNS, ao mesmo tempo que proporciona aos assinantes os benefícios de privacidade do DNS encriptado contra a observação por terceiros.
A segunda estratégia envolve a utilização de fontes de dados alternativas para reconstruir a informação que as consultas DNS forneciam anteriormente. A Indicação do Nome do Servidor (SNI) nos handshakes TLS fornece o nome de domínio do servidor ao qual o cliente se está a ligar, e esta informação tem sido tradicionalmente transmitida em texto simples. No entanto, a adoção do Encrypted Client Hello (ECH, anteriormente ESNI) está a começar a encriptar também a SNI, reduzindo ainda mais a visibilidade. A análise de endereços IP também pode fornecer algumas informações sobre os serviços a que um alvo está a aceder, mas a utilização generalizada de redes de distribuição de conteúdos (CDNs) e de alojamento partilhado significa que o mapeamento de IP para domínio é frequentemente ambíguo.
A terceira estratégia consiste em implementar a interceção na camada de aplicação ou ao nível do dispositivo, em vez de depender exclusivamente dos dados ao nível da rede. Esta abordagem ultrapassa o âmbito da interceção tradicional das telecomunicações, mas está a ser explorada por algumas agências responsáveis pela aplicação da lei como resposta ao aumento da encriptação do tráfego de rede. Para os operadores, esta não é uma solução prática, mas faz parte do contexto mais amplo em que o DNS encriptado deve ser entendido.
Uma quarta estratégia envolve o envolvimento a nível regulatório e político. Alguns governos têm vindo a considerar ou a implementar requisitos que obrigam os operadores a bloquear o acesso a resolvedores DNS de terceiros ou a exigir a utilização da infraestrutura DNS do próprio operador. Estas abordagens são controversas e suscitam questões sobre a neutralidade da rede, a liberdade dos utilizadores e a viabilidade técnica, mas representam uma resposta política ao desafio do DNS encriptado.
A tendência geral para o uso da encriptação
O DNS encriptado faz parte de uma tendência mais ampla no sentido da encriptação de todo o tráfego de rede, impulsionada por preocupações com a privacidade, pelas melhores práticas de segurança e pelas configurações predefinidas das principais plataformas de software. O TLS 1.3, o ECH, o QUIC e outras tecnologias estão a encriptar progressivamente uma parte cada vez maior dos metadados e conteúdos nos quais a interceção ao nível da rede tradicionalmente se baseava. Cada passo nesta tendência de encriptação reduz a visibilidade disponível para os operadores e, por extensão, para a interceção legal.
Os operadores devem reconhecer que a visibilidade ao nível da rede de que têm historicamente beneficiado está a diminuir e continuará a diminuir. A resposta a esta tendência não pode ser puramente técnica — exige o envolvimento com as entidades reguladoras, os organismos de normalização e as autoridades responsáveis pela aplicação da lei, a fim de desenvolver novas abordagens à interceção legal que tenham em conta as realidades de um ambiente de rede fortemente encriptado.
Ao mesmo tempo, os operadores devem continuar a fornecer todos os dados de interceção que estejam tecnicamente aptos a disponibilizar. A encriptação do DNS não elimina a obrigação legal da operadora de efetuar a interceção; altera apenas o âmbito do que pode ser interceptado. As operadoras devem ser transparentes com as autoridades responsáveis pela aplicação da lei relativamente a estas limitações e devem garantir que os seus sistemas de LI sejam atualizados para lidar adequadamente com a visibilidade reduzida — gerando IRI que reflitam com precisão o que está disponível, em vez de produzirem dados incompletos ou enganosos.
Implicações em matéria de conformidade e prestação de informações
A perda de visibilidade do DNS tem implicações na forma como as operadoras comunicam as suas capacidades de interceção e na forma como as entidades reguladoras avaliam a conformidade. As operadoras devem comunicar de forma proativa com a sua autoridade reguladora nacional sobre o impacto do DNS encriptado nas suas capacidades de interceção, documentando os elementos de dados específicos que já não estão disponíveis e as medidas que estão a tomar para mitigar esse impacto.
As entidades reguladoras em algumas jurisdições poderão ter de atualizar os seus requisitos técnicos e expectativas para ter em conta a realidade do DNS encriptado. Os operadores podem desempenhar um papel construtivo neste processo, contribuindo com conhecimentos técnicos e perspetivas práticas para orientar o desenvolvimento da regulamentação. O pior cenário para todas as partes seria uma expectativa regulatória de que as operadoras forneçam dados aos quais não têm acesso por motivos técnicos — uma situação que cria um risco de incumprimento sem, no entanto, proporcionar qualquer valor para a investigação.
Conclusão
O DNS encriptado representa uma mudança significativa no equilíbrio entre a privacidade e a capacidade de vigilância nas redes de telecomunicações. O DoH e o DoT protegem a privacidade dos utilizadores, impedindo que os intermediários da rede observem as consultas DNS, mas também reduzem a visibilidade disponível para os sistemas de interceção legal. As operadoras devem adaptar-se implementando os seus próprios resolutores DNS encriptados, tirando partido de fontes de dados alternativas, colaborando com as entidades reguladoras no que diz respeito aos requisitos em evolução e garantindo que os seus sistemas de interceção legal (LI) refletem com precisão os dados que estão efetivamente disponíveis. A tendência para uma encriptação abrangente da rede é irreversível, e as operadoras que se adaptarem de forma proativa estarão melhor posicionadas para manter a conformidade e prestar um apoio significativo às autoridades de aplicação da lei, dentro dos limites do panorama técnico em constante evolução.
O debate em torno do DNS encriptado também destaca a tensão entre os direitos individuais à privacidade e as necessidades legítimas das autoridades responsáveis pela aplicação da lei. Encontrar o equilíbrio certo requer a colaboração entre especialistas em tecnologia, decisores políticos, a sociedade civil e as autoridades responsáveis pela aplicação da lei. Os operadores encontram-se na intersecção destes interesses e têm a responsabilidade única de garantir que as capacidades técnicas, as obrigações legais e as proteções de privacidade estejam alinhadas. Ao participarem ativamente no desenvolvimento de normas, em consultas regulamentares e em fóruns do setor, as operadoras podem ajudar a definir soluções que respeitem a privacidade, preservando simultaneamente a capacidade das sociedades democráticas de realizar vigilância legal, em conformidade com o Estado de direito.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- Network Slicing na rede 5G SA: como complica (e pode simplificar) a segmentação de LI
- LI assistida por IA: O que a automatização significa para os operadores e para os fluxos de trabalho das forças policiais
- IRI vs CC: o que significa na prática a informação relacionada com a interceção
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
