{"id":2169,"date":"2026-08-12T08:00:00","date_gmt":"2026-08-12T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2169"},"modified":"2026-09-16T15:02:13","modified_gmt":"2026-09-16T14:02:13","slug":"impacto-do-dns-encriptado-doh-li","status":"publish","type":"post","link":"https:\/\/ic-services.io\/pt\/resources\/blog\/encrypted-dns-doh-dot-li-impact\/","title":{"rendered":"DNS encriptado (DoH\/DoT) e o seu impacto nas capacidades de interce\u00e7\u00e3o legal"},"content":{"rendered":"

O Sistema de Nomes de Dom\u00ednio (DNS) tem sido, h\u00e1 muito tempo, uma das fontes de dados mais valiosas para a interce\u00e7\u00e3o legal e a intelig\u00eancia de rede. As consultas ao DNS revelam quais os s\u00edtios web que um utilizador visita, a que servi\u00e7os acede e quais as aplica\u00e7\u00f5es que utiliza \u2014 tudo isto sem que seja necess\u00e1rio aceder ao conte\u00fado da pr\u00f3pria comunica\u00e7\u00e3o. Durante d\u00e9cadas, o tr\u00e1fego DNS foi transmitido em texto simples, tornando-o facilmente acess\u00edvel \u00e0 interce\u00e7\u00e3o ao n\u00edvel da rede. O surgimento de protocolos DNS encriptados \u2014 DNS sobre HTTPS (DoH) e DNS sobre TLS (DoT) \u2014 est\u00e1 a mudar radicalmente este panorama, com implica\u00e7\u00f5es significativas para capacidades de interce\u00e7\u00e3o legal<\/a>.<\/p>\n\n\n\n

Este artigo analisa o funcionamento do DoH e do DoT, as raz\u00f5es pelas quais est\u00e3o a ser adotados, o impacto que t\u00eam na interce\u00e7\u00e3o legal e o que as operadoras podem fazer para cumprir as suas obriga\u00e7\u00f5es de conformidade num ambiente em que o tr\u00e1fego DNS est\u00e1 cada vez mais encriptado.<\/p>\n\n\n\n

O Desafio do DNS Encriptado para os Operadores<\/h2>\n\n\n\n

A resolu\u00e7\u00e3o DNS tradicional utiliza a porta UDP 53, transmitindo consultas e respostas em texto simples. Qualquer pessoa com acesso ao percurso de rede entre o utilizador e o resolvedor DNS \u2014 incluindo o operador, os elementos de rede interm\u00e9dios e potenciais intrusos \u2014 pode observar as consultas DNS e determinar quais os nomes de dom\u00ednio que o utilizador est\u00e1 a resolver.<\/p>\n\n\n\n

O DNS sobre TLS (DoT), definido na RFC 7858, encripta o tr\u00e1fego DNS envolvendo-o numa liga\u00e7\u00e3o TLS na porta TCP 853. As consultas e respostas DNS s\u00e3o encriptadas em tr\u00e2nsito, impedindo a observa\u00e7\u00e3o por parte de intermedi\u00e1rios. No entanto, a utiliza\u00e7\u00e3o de uma porta dedicada (853) torna o tr\u00e1fego DoT identific\u00e1vel ao n\u00edvel da rede \u2014 um observador pode determinar que est\u00e1 a ocorrer uma resolu\u00e7\u00e3o DNS, mesmo que o conte\u00fado das consultas esteja encriptado.<\/p>\n\n\n\n

O DNS sobre HTTPS (DoH), definido na RFC 8484, leva a encripta\u00e7\u00e3o um passo mais al\u00e9m, canalizando o tr\u00e1fego DNS atrav\u00e9s de liga\u00e7\u00f5es HTTPS padr\u00e3o na porta TCP 443. Como o tr\u00e1fego DoH \u00e9 indistingu\u00edvel do tr\u00e1fego web HTTPS normal, \u00e9 extremamente dif\u00edcil identific\u00e1-lo e bloque\u00e1-lo ao n\u00edvel da rede. O DoH oculta eficazmente a resolu\u00e7\u00e3o DNS no vasto volume de tr\u00e1fego web encriptado que atravessa as redes modernas.<\/p>\n\n\n\n

Ambos os protocolos foram concebidos para proteger a privacidade dos utilizadores, impedindo que os intermedi\u00e1rios de rede observem as consultas DNS. Os principais fornecedores de navegadores \u2014 incluindo o Mozilla Firefox e o Google Chrome \u2014 implementaram o suporte ao DoH, e alguns sistemas operativos j\u00e1 suportam o DoH e o DoT de forma nativa. A ado\u00e7\u00e3o do DNS encriptado est\u00e1 a acelerar, impulsionada pela defesa da privacidade, pelas predefini\u00e7\u00f5es dos navegadores e pela tend\u00eancia mais ampla para encriptar todo o tr\u00e1fego de rede.<\/p>\n\n\n\n

O impacto na intercep\u00e7\u00e3o legal<\/h2>\n\n\n\n

A encripta\u00e7\u00e3o do tr\u00e1fego DNS tem um impacto direto e significativo nas capacidades de interce\u00e7\u00e3o legal. Os dados das consultas DNS t\u00eam sido, tradicionalmente, uma componente fundamental da informa\u00e7\u00e3o relacionada com a interce\u00e7\u00e3o, fornecendo aos investigadores um registo detalhado da atividade online do alvo. Quando um alvo visita um site, envia um e-mail ou utiliza uma aplica\u00e7\u00e3o, as consultas DNS correspondentes revelam os nomes de dom\u00ednio envolvidos, mesmo quando o conte\u00fado da comunica\u00e7\u00e3o est\u00e1 encriptado.<\/p>\n\n\n\n

Com o DoH e o DoT, os operadores j\u00e1 n\u00e3o conseguem monitorizar as consultas DNS ao n\u00edvel da rede se o dispositivo do destinat\u00e1rio estiver configurado para utilizar um resolvedor DNS encriptado que n\u00e3o seja gerido pelo operador. O processo de resolu\u00e7\u00e3o DNS \u00e9 encriptado de ponta a ponta entre o dispositivo e o resolvedor, e o equipamento de rede da operadora n\u00e3o consegue desencriptar as consultas sem acesso \u00e0s chaves de sess\u00e3o TLS.<\/p>\n\n\n\n

Esta perda de visibilidade do DNS afeta tanto a interce\u00e7\u00e3o em tempo real como a an\u00e1lise de dados hist\u00f3ricos. Na interce\u00e7\u00e3o em tempo real, o IRI gerado para a sess\u00e3o de dados de um alvo n\u00e3o incluir\u00e1 as informa\u00e7\u00f5es da consulta DNS que anteriormente forneciam contexto sobre a atividade online do alvo. Na an\u00e1lise hist\u00f3rica, a aus\u00eancia de registos DNS reduz a capacidade do operador de reconstruir o hist\u00f3rico de navega\u00e7\u00e3o e os padr\u00f5es de utiliza\u00e7\u00e3o de servi\u00e7os de um alvo a partir de dados conservados<\/a>.<\/p>\n\n\n\n

O impacto \u00e9 mais acentuado quando o alvo utiliza um resolvedor DoH de terceiros \u2014 como os operados pela Cloudflare, pelo Google ou por outros fornecedores \u2014 em vez da pr\u00f3pria infraestrutura DNS do operador. Neste caso, as consultas DNS s\u00e3o resolvidas inteiramente fora da rede da operadora, e esta n\u00e3o tem qualquer acesso \u00e0s mesmas. Se o destino utilizar o pr\u00f3prio resolvedor DNS da operadora com DoT ou DoH, a operadora mant\u00e9m o acesso aos dados das consultas ao n\u00edvel do resolvedor, mas n\u00e3o em pontos interm\u00e9dios da rede.<\/p>\n\n\n\n

Estrat\u00e9gias de mitiga\u00e7\u00e3o para os operadores<\/h2>\n\n\n\n

Os operadores n\u00e3o podem impedir a ado\u00e7\u00e3o do DNS encriptado, mas podem implementar estrat\u00e9gias para mitigar o seu impacto na interce\u00e7\u00e3o legal. A primeira estrat\u00e9gia consiste em operar os seus pr\u00f3prios resolvedores DoH e DoT e incentivar ou exigir que os seus assinantes utilizem esses resolvedores. Se a operadora controlar o resolvedor DNS, mant\u00e9m o acesso aos dados das consultas DNS, mesmo quando a transmiss\u00e3o entre o dispositivo e o resolvedor estiver encriptada. Esta abordagem preserva a visibilidade do DNS, ao mesmo tempo que proporciona aos assinantes os benef\u00edcios de privacidade do DNS encriptado contra a observa\u00e7\u00e3o por terceiros.<\/p>\n\n\n\n

A segunda estrat\u00e9gia envolve a utiliza\u00e7\u00e3o de fontes de dados alternativas para reconstruir a informa\u00e7\u00e3o que as consultas DNS forneciam anteriormente. A Indica\u00e7\u00e3o do Nome do Servidor (SNI) nos handshakes TLS fornece o nome de dom\u00ednio do servidor ao qual o cliente se est\u00e1 a ligar, e esta informa\u00e7\u00e3o tem sido tradicionalmente transmitida em texto simples. No entanto, a ado\u00e7\u00e3o do Encrypted Client Hello (ECH, anteriormente ESNI) est\u00e1 a come\u00e7ar a encriptar tamb\u00e9m a SNI, reduzindo ainda mais a visibilidade. A an\u00e1lise de endere\u00e7os IP tamb\u00e9m pode fornecer algumas informa\u00e7\u00f5es sobre os servi\u00e7os a que um alvo est\u00e1 a aceder, mas a utiliza\u00e7\u00e3o generalizada de redes de distribui\u00e7\u00e3o de conte\u00fados (CDNs) e de alojamento partilhado significa que o mapeamento de IP para dom\u00ednio \u00e9 frequentemente amb\u00edguo.<\/p>\n\n\n\n

A terceira estrat\u00e9gia consiste em implementar a interce\u00e7\u00e3o na camada de aplica\u00e7\u00e3o ou ao n\u00edvel do dispositivo, em vez de depender exclusivamente de dados ao n\u00edvel da rede. Esta abordagem vai al\u00e9m do \u00e2mbito da interce\u00e7\u00e3o tradicional nas telecomunica\u00e7\u00f5es, mas est\u00e1 a ser explorada por alguns organismos respons\u00e1veis pela aplica\u00e7\u00e3o da lei<\/a> em resposta \u00e0 crescente encripta\u00e7\u00e3o do tr\u00e1fego de rede. Para os operadores, esta n\u00e3o \u00e9 uma solu\u00e7\u00e3o pr\u00e1tica, mas faz parte do contexto mais alargado em que o DNS encriptado deve ser entendido.<\/p>\n\n\n\n

Uma quarta estrat\u00e9gia envolve o envolvimento a n\u00edvel regulat\u00f3rio e pol\u00edtico. Alguns governos t\u00eam vindo a considerar ou a implementar requisitos que obrigam os operadores a bloquear o acesso a resolvedores DNS de terceiros ou a exigir a utiliza\u00e7\u00e3o da infraestrutura DNS do pr\u00f3prio operador. Estas abordagens s\u00e3o controversas e suscitam quest\u00f5es sobre a neutralidade da rede, a liberdade dos utilizadores e a viabilidade t\u00e9cnica, mas representam uma resposta pol\u00edtica ao desafio do DNS encriptado.<\/p>\n\n\n\n

A tend\u00eancia geral para o uso da encripta\u00e7\u00e3o<\/h2>\n\n\n\n

O DNS encriptado faz parte de uma tend\u00eancia mais ampla no sentido da encripta\u00e7\u00e3o de todo o tr\u00e1fego de rede, impulsionada por preocupa\u00e7\u00f5es com a privacidade, pelas melhores pr\u00e1ticas de seguran\u00e7a e pelas configura\u00e7\u00f5es predefinidas das principais plataformas de software. O TLS 1.3, o ECH, o QUIC e outras tecnologias est\u00e3o a encriptar progressivamente uma parte cada vez maior dos metadados e conte\u00fados nos quais a interce\u00e7\u00e3o ao n\u00edvel da rede tradicionalmente se baseava. Cada passo nesta tend\u00eancia de encripta\u00e7\u00e3o reduz a visibilidade dispon\u00edvel para os operadores e, por extens\u00e3o, para a interce\u00e7\u00e3o legal.<\/p>\n\n\n\n

Os operadores devem reconhecer que a visibilidade ao n\u00edvel da rede de que t\u00eam historicamente beneficiado est\u00e1 a diminuir e continuar\u00e1 a diminuir. A resposta a esta tend\u00eancia n\u00e3o pode ser puramente t\u00e9cnica \u2014 exige o envolvimento com as entidades reguladoras, os organismos de normaliza\u00e7\u00e3o e as autoridades respons\u00e1veis pela aplica\u00e7\u00e3o da lei, a fim de desenvolver novas abordagens \u00e0 interce\u00e7\u00e3o legal que tenham em conta as realidades de um ambiente de rede fortemente encriptado.<\/p>\n\n\n\n

Ao mesmo tempo, os operadores devem continuar a fornecer todos os dados de interce\u00e7\u00e3o que estejam tecnicamente aptos a disponibilizar. A encripta\u00e7\u00e3o do DNS n\u00e3o elimina a obriga\u00e7\u00e3o legal da operadora de efetuar a interce\u00e7\u00e3o; altera apenas o \u00e2mbito do que pode ser interceptado. As operadoras devem ser transparentes com as autoridades respons\u00e1veis pela aplica\u00e7\u00e3o da lei relativamente a estas limita\u00e7\u00f5es e devem garantir que os seus sistemas de LI sejam atualizados para lidar adequadamente com a visibilidade reduzida \u2014 gerando IRI que reflitam com precis\u00e3o o que est\u00e1 dispon\u00edvel, em vez de produzirem dados incompletos ou enganosos.<\/p>\n\n\n\n

Implica\u00e7\u00f5es em mat\u00e9ria de conformidade e presta\u00e7\u00e3o de informa\u00e7\u00f5es<\/h2>\n\n\n\n

A perda de visibilidade do DNS tem implica\u00e7\u00f5es na forma como as operadoras comunicam as suas capacidades de interce\u00e7\u00e3o e na forma como as entidades reguladoras avaliam a conformidade. As operadoras devem comunicar de forma proativa com a sua autoridade reguladora nacional sobre o impacto do DNS encriptado nas suas capacidades de interce\u00e7\u00e3o, documentando os elementos de dados espec\u00edficos que j\u00e1 n\u00e3o est\u00e3o dispon\u00edveis e as medidas que est\u00e3o a tomar para mitigar esse impacto.<\/p>\n\n\n\n

As entidades reguladoras em algumas jurisdi\u00e7\u00f5es poder\u00e3o ter de atualizar os seus requisitos t\u00e9cnicos e expectativas para ter em conta a realidade do DNS encriptado. Os operadores podem desempenhar um papel construtivo neste processo, contribuindo com conhecimentos t\u00e9cnicos e perspetivas pr\u00e1ticas para orientar o desenvolvimento da regulamenta\u00e7\u00e3o. O pior cen\u00e1rio para todas as partes seria uma expectativa regulat\u00f3ria de que as operadoras forne\u00e7am dados aos quais n\u00e3o t\u00eam acesso por motivos t\u00e9cnicos \u2014 uma situa\u00e7\u00e3o que cria um risco de incumprimento sem, no entanto, proporcionar qualquer valor para a investiga\u00e7\u00e3o.<\/p>\n\n\n\n

Conclus\u00e3o<\/h2>\n\n\n\n

O DNS encriptado representa uma mudan\u00e7a significativa no equil\u00edbrio entre a privacidade e a capacidade de vigil\u00e2ncia nas redes de telecomunica\u00e7\u00f5es. O DoH e o DoT protegem a privacidade dos utilizadores, impedindo que os intermedi\u00e1rios da rede observem as consultas DNS, mas tamb\u00e9m reduzem a visibilidade dispon\u00edvel para os sistemas de interce\u00e7\u00e3o legal. As operadoras devem adaptar-se implementando os seus pr\u00f3prios resolutores DNS encriptados, tirando partido de fontes de dados alternativas, colaborando com as entidades reguladoras no que diz respeito aos requisitos em evolu\u00e7\u00e3o e garantindo que os seus sistemas de interce\u00e7\u00e3o legal (LI) refletem com precis\u00e3o os dados que est\u00e3o efetivamente dispon\u00edveis. A tend\u00eancia para uma encripta\u00e7\u00e3o abrangente da rede \u00e9 irrevers\u00edvel, e as operadoras que se adaptarem de forma proativa estar\u00e3o melhor posicionadas para manter a conformidade e prestar um apoio significativo \u00e0s autoridades de aplica\u00e7\u00e3o da lei, dentro dos limites do panorama t\u00e9cnico em constante evolu\u00e7\u00e3o.<\/p>\n\n\n

O debate em torno do DNS encriptado tamb\u00e9m destaca a tens\u00e3o entre os direitos individuais \u00e0 privacidade e as necessidades leg\u00edtimas das autoridades respons\u00e1veis pela aplica\u00e7\u00e3o da lei. Encontrar o equil\u00edbrio certo requer a colabora\u00e7\u00e3o entre especialistas em tecnologia, decisores pol\u00edticos, a sociedade civil e as autoridades respons\u00e1veis pela aplica\u00e7\u00e3o da lei. Os operadores encontram-se na intersec\u00e7\u00e3o destes interesses e t\u00eam a responsabilidade \u00fanica de garantir que as capacidades t\u00e9cnicas, as obriga\u00e7\u00f5es legais e as prote\u00e7\u00f5es de privacidade estejam alinhadas. Ao participarem ativamente no desenvolvimento de normas, em consultas regulamentares e em f\u00f3runs do setor, as operadoras podem ajudar a definir solu\u00e7\u00f5es que respeitem a privacidade, preservando simultaneamente a capacidade das sociedades democr\u00e1ticas de realizar vigil\u00e2ncia legal, em conformidade com o Estado de direito.<\/p>\n\n\n\n

Artigos relacionados<\/h2>\n\n\n\n

Para mais informa\u00e7\u00f5es sobre temas relacionados, consulte estes artigos:<\/p>\n\n\n\n