Pengantar

Internet menggunakan DNS untuk menerjemahkan nama domain menjadi alamat IP. Contohnya, browser membutuhkan DNS saat membuka sebuah website.

Pada DNS biasa, permintaan tersebut tidak selalu menggunakan enkripsi. Akibatnya, pihak lain di jaringan dapat lebih mudah mengamati aktivitas DNS.

DNS-over-HTTPS (DoH) dan DNS-over-TLS (DoT) hadir sebagai solusi. Keduanya mengenkripsi komunikasi antara perangkat dan DNS resolver.

Meski memiliki tujuan yang sama, cara kerja keduanya berbeda. DoH menggunakan HTTPS, sedangkan DoT menggunakan TLS pada koneksi DNS khusus.

RFC 8484 menjelaskan mekanisme DNS melalui HTTPS. Sementara itu, RFC 7858 menjelaskan penggunaan TLS untuk mengamankan komunikasi DNS. (dikutip dari: RFC 8484 – DNS Queries over HTTPS dan RFC 7858 – DNS over TLS)

Apa Itu DNS-over-HTTPS (DoH)?

DNS-over-HTTPS (DoH) adalah metode untuk mengirim query DNS melalui koneksi HTTPS.

Alurnya cukup sederhana:

Perangkat
↓
HTTPS
↓
DNS Resolver
↓
Hasil DNS

Pada metode ini, query DNS berada di dalam koneksi HTTPS. Dengan begitu, komunikasi tersebut mendapatkan perlindungan dari TLS.

DoH umumnya menggunakan port 443. Port tersebut juga digunakan oleh website HTTPS.

Karena itu, trafik DoH dapat terlihat seperti trafik HTTPS biasa. Kondisi ini menjadi salah satu karakteristik utama DoH.

baca juga : HTTP/2 Server Push vs Preload: Mana yang Lebih Efektif untuk Mempercepat Website?

Apa Itu DNS-over-TLS (DoT)?

DNS-over-TLS (DoT) menggunakan TLS untuk mengenkripsi komunikasi DNS.

Berbeda dengan DoH, DoT menggunakan koneksi khusus untuk DNS.

Gambaran sederhananya:

Perangkat
↓
TLS
↓
DNS Resolver
↓
Hasil DNS

DoT umumnya menggunakan port 853.

Menurut RFC 7858, TLS dapat digunakan untuk melindungi komunikasi DNS dari penyadapan dan manipulasi selama proses pengiriman. (dikutip dari: RFC 7858 – DNS over TLS)

Mengapa DNS Perlu Dienkripsi?

DNS membantu perangkat menemukan alamat server sebuah website. Namun, DNS biasa tidak selalu melindungi query dengan enkripsi.

Misalnya, pengguna membuka:

www.example.com

Perangkat kemudian mengirim query DNS untuk mencari alamat IP domain tersebut.

Tanpa enkripsi, pihak lain di jaringan dapat lebih mudah mengetahui query tersebut.

Sebaliknya, DoH dan DoT mengenkripsi komunikasi DNS:

Perangkat
↓
Encrypted DNS Query
↓
DNS Resolver

Dengan demikian, isi query lebih sulit dibaca selama perjalanan menuju resolver.

Namun, enkripsi DNS tidak membuat pengguna sepenuhnya anonim. Resolver tetap menerima dan memproses query yang dikirimkan.

Bagaimana Cara Kerja DoH?

Proses DoH dapat dijelaskan melalui beberapa tahap.

1. Browser Membutuhkan Alamat IP

Pengguna membuka sebuah website.

www.example.com

Browser membutuhkan alamat IP dari domain tersebut.

2. Query Dikirim Melalui HTTPS

Browser mengirim query DNS melalui koneksi HTTPS.

Selanjutnya, resolver menerima permintaan tersebut.

3. Resolver Memproses Query

DNS resolver mencari alamat IP yang sesuai.

Setelah ditemukan, resolver mengirimkan hasilnya kembali.

4. Browser Terhubung ke Server

Browser menerima alamat IP.

Kemudian, koneksi ke server website dapat dilakukan.

baca juga : Centralized Identity Provider (IdP): Cara Kerja dan Perannya dalam Keamanan Akses Digital

Bagaimana Cara Kerja DoT?

Proses DoT memiliki alur yang hampir sama.

Perbedaannya terletak pada koneksi yang digunakan.

Pertama, perangkat membuat koneksi TLS ke DNS resolver. Setelah koneksi berhasil, query DNS dikirim melalui koneksi tersebut.

Resolver kemudian memproses query dan mengirimkan jawabannya melalui koneksi TLS.

Secara sederhana:

Perangkat
↓
TLS Connection
↓
DNS Query
↓
DNS Resolver
↓
DNS Response

Dengan pendekatan tersebut, komunikasi DNS mendapatkan perlindungan TLS.

Perbedaan DoH dan DoT

Perbedaan keduanya dapat dilihat pada tabel berikut:

Aspek DoH DoT
Nama DNS-over-HTTPS DNS-over-TLS
Protokol HTTPS TLS
Port umum 443 853
Enkripsi TLS TLS
Cocok untuk browser Ya Bergantung dukungan
Mudah dikenali jaringan Lebih sulit Lebih mudah
Kontrol jaringan Lebih kompleks Lebih sederhana

Secara umum, DoH lebih menyatu dengan ekosistem HTTPS. Sebaliknya, DoT menggunakan jalur khusus untuk DNS.

DoH Menggunakan Port 443

Port 443 merupakan port standar yang banyak digunakan oleh HTTPS.

Contohnya:

Port 443
├── Website HTTPS
├── API HTTPS
└── DNS-over-HTTPS

Karena itu, trafik DoH lebih sulit dibedakan hanya berdasarkan nomor port.

Situasi tersebut dapat memberikan keuntungan bagi privasi pengguna. Namun, administrator jaringan juga dapat menghadapi tantangan saat ingin mengontrol resolver yang digunakan perangkat.

DoT Menggunakan Port 853

DoT biasanya menggunakan port 853.

Strukturnya terlihat seperti berikut:

Perangkat
↓
Port 853
↓
DNS Resolver

Berbeda dengan DoH, trafik DoT lebih mudah dikenali oleh perangkat jaringan.

Karena itu, administrator dapat lebih mudah membuat aturan berdasarkan trafik DNS terenkripsi tersebut.

Di sisi lain, jaringan yang memblokir port 853 dapat mengganggu koneksi DoT.

DoH vs DoT: Mana yang Lebih Aman?

Keduanya memiliki tujuan keamanan yang hampir sama.

DoH melindungi query DNS menggunakan HTTPS. Sementara itu, DoT menggunakan TLS untuk koneksi DNS.

Jadi, tidak tepat jika langsung menyimpulkan bahwa DoH selalu lebih aman.

Pilihan teknologi sebaiknya disesuaikan dengan kebutuhan.

DoH Cocok untuk

  • Pengguna browser.
  • Jaringan publik.
  • Perangkat yang mendukung DoH.
  • Pengguna yang ingin menggunakan DNS melalui HTTPS.

DoT Cocok untuk

  • Administrator jaringan.
  • Perangkat dengan dukungan DoT.
  • Infrastruktur DNS terpusat.
  • Jaringan yang membutuhkan kontrol trafik DNS.

Kelebihan DNS-over-HTTPS

Lebih Sulit Dibedakan dari HTTPS

DoH menggunakan HTTPS pada port 443.

Karena itu, trafik DNS dapat terlihat seperti trafik HTTPS lainnya.

Cocok untuk Browser

Browser modern tertentu mendukung DoH secara langsung.

Pengguna pun dapat mengatur resolver tanpa mengubah konfigurasi DNS seluruh sistem.

Melindungi Query DNS

Query DNS dikirim melalui koneksi terenkripsi.

Dengan demikian, pihak lain di jaringan tidak dapat dengan mudah membaca isi query.

Kekurangan DNS-over-HTTPS

Lebih Sulit Dikontrol

Administrator perusahaan mungkin ingin semua perangkat menggunakan DNS internal.

Namun, browser dapat menggunakan resolver DoH eksternal.

Akibatnya, penerapan kebijakan DNS menjadi lebih kompleks.

Resolver Tetap Mengetahui Query

Enkripsi melindungi komunikasi antara perangkat dan resolver.

Akan tetapi, resolver tetap menerima query DNS.

Oleh sebab itu, pengguna sebaiknya memilih provider DNS yang memiliki kebijakan privasi yang jelas.

Kelebihan DNS-over-TLS

Menggunakan Koneksi Khusus

DoT menggunakan koneksi TLS khusus untuk DNS.

Pendekatan ini membuat arsitektur DNS lebih jelas.

Lebih Mudah Dikelola

Port 853 membuat trafik DoT lebih mudah dikenali.

Dengan demikian, administrator dapat menerapkan aturan jaringan dengan lebih mudah.

Menggunakan TLS

DoT memanfaatkan TLS untuk melindungi komunikasi DNS.

Perlindungan tersebut membantu mengurangi risiko penyadapan dan manipulasi trafik.

Kekurangan DNS-over-TLS

Lebih Mudah Diidentifikasi

DoT menggunakan port 853.

Akibatnya, trafiknya lebih mudah dikenali oleh perangkat jaringan.

Jika jaringan memblokir port tersebut, koneksi DoT dapat terganggu.

Dukungan Perangkat Berbeda

Tidak semua perangkat memiliki dukungan DoT yang sama.

Oleh karena itu, pengguna perlu memeriksa dukungan perangkat sebelum melakukan konfigurasi.

Apakah DoH dan DoT Membuat Pengguna Anonim?

Tidak.

DoH dan DoT hanya mengenkripsi komunikasi DNS antara perangkat dan resolver.

Contohnya:

Perangkat
↓
Encrypted DNS
↓
DNS Resolver

Resolver tetap dapat mengetahui domain yang diminta.

Dengan kata lain, DNS terenkripsi memberikan privasi komunikasi, bukan anonimitas penuh.

Jika privasi menjadi prioritas, pemilihan DNS resolver tetap penting.

Apakah DoH dan DoT Menggantikan VPN?

Tidak.

Keduanya memiliki fungsi yang berbeda.

DoH dan DoT berfokus pada komunikasi DNS. Sementara itu, VPN dapat melindungi lebih banyak jenis trafik jaringan.

Perbandingannya:

DoH / DoT
↓
Melindungi DNS
VPN
↓
Melindungi koneksi jaringan melalui VPN

Jadi, DoH atau DoT tidak dapat dianggap sebagai pengganti VPN.

Mana yang Lebih Cepat?

Tidak ada jawaban yang berlaku untuk semua kondisi.

Kecepatan DNS dipengaruhi oleh beberapa faktor, seperti:

  • Jarak ke resolver.
  • Latensi jaringan.
  • Kecepatan resolver.
  • Cache DNS.
  • Kualitas koneksi.

Karena itu, performa DoH dan DoT dapat berbeda pada setiap jaringan.

Pengujian langsung menjadi cara terbaik untuk mengetahui teknologi yang lebih cepat pada lingkungan tertentu.

DoH vs DoT untuk Jaringan Perusahaan

Jaringan perusahaan membutuhkan kontrol yang lebih ketat.

Dalam kondisi tersebut, administrator perlu mengetahui resolver yang digunakan setiap perangkat.

DoH dapat membuat pengelolaan menjadi lebih kompleks karena menggunakan HTTPS pada port 443.

Sebaliknya, DoT lebih mudah dikenali karena menggunakan port 853.

Namun, keamanan tidak hanya bergantung pada pilihan DoH atau DoT.

Administrator juga perlu menerapkan:

  • Firewall.
  • Monitoring.
  • DNS policy.
  • Access control.
  • Logging.
  • Resolver internal.

Dengan kombinasi tersebut, pengelolaan DNS dapat menjadi lebih terkontrol.

baca juga : Git Submodule Typosquatting: Ancaman Supply Chain yang Sering Terabaikan Developer

DoH atau DoT, Mana yang Sebaiknya Dipilih?

Tidak ada jawaban tunggal.

Pilihan bergantung pada kebutuhan pengguna.

DoH dapat menjadi pilihan praktis bagi pengguna browser. Teknologi ini juga cocok ketika trafik DNS perlu berjalan melalui HTTPS.

DoT lebih menarik untuk lingkungan yang membutuhkan pengelolaan DNS pada level perangkat atau jaringan.

Dengan demikian:

Kebutuhan Pilihan
Browser DoH
Jaringan publik DoH
Kontrol jaringan DoT
DNS perangkat DoT
DNS melalui HTTPS DoH
Koneksi DNS khusus DoT

Kesimpulan

DNS-over-HTTPS (DoH) dan DNS-over-TLS (DoT) sama-sama menyediakan enkripsi untuk komunikasi DNS.

Perbedaannya terdapat pada cara pengiriman query. DoH menggunakan HTTPS, sedangkan DoT menggunakan TLS pada koneksi DNS khusus.

DoH biasanya menggunakan port 443. Karena itu, trafiknya lebih sulit dibedakan dari HTTPS biasa.

Sebaliknya, DoT biasanya menggunakan port 853. Kondisi ini membuat trafiknya lebih mudah dikenali dan dikelola oleh administrator jaringan.

Untuk pengguna browser, DoH dapat menjadi pilihan yang praktis. Sementara itu, DoT dapat lebih sesuai untuk pengelolaan DNS pada level jaringan.

Namun, keduanya tidak memberikan anonimitas penuh. DNS resolver tetap dapat mengetahui query yang diterimanya.

Pada akhirnya, keamanan DNS tidak hanya bergantung pada protokol. Pemilihan resolver, konfigurasi jaringan, dan kebijakan keamanan juga memiliki peran penting.

Related Posts: