Огляд DNS Quad9

На відміну від багатьох авторитетних державних служб DNS, якими керують комерційні корпорації, Quad9 управляється некомерційною організацією. Закликаний Глобальним кібер альянсом, він заснований різними правоохоронними та дослідницькими організаціями, щоб допомогти зменшити кіберзлочинність. Група запустила Quad9 у партнерстві з IBM та Packet Clearing House (PCH) з метою захисту користувачів від потоку шкідливих доменів, що поширюють шкідливе програмне забезпечення.

Ви можете зареєструватися в Quad9 тут.

Особливості

Quad9 - це безкоштовна рекурсивна DNS-служба, яка працює з єдиним наміром запобігти випадковому попаданню користувачів на шкідливі домени, такі як фішинг-домени, командні та контрольні домени C2, експлойт-компрометовані домени тощо.

Служба використовує інформацію про загрози з різних джерел; 12 із них перераховані на його веб-сайті, включаючи Cisco, F-Secure, Netlab, IBM X-Force, Робочу групу з боротьби з фішингом (APWG) та інші.

Як і більшість загальнодоступних служб DNS, Quad9 використовує маршрутизацію трафіку Anycast для надсилання запитів з ваших комп'ютерів на найближчі сервери. Сервіс має сервери у понад 145 місцях у 88 країнах, а Quad9 стверджує, що більша частина платформи розміщується в ІТ-інфраструктурі, що підтримує авторитетний DNS для приблизно однієї п'ятої світових доменів верхнього рівня. Quad9 також використовує активи PCH, включаючи точки присутності в 201 точці обміну Інтернетом у всьому світі станом на вересень 2022-2023 року. Завдяки цьому Quad9, безумовно, зможе забезпечити меншу затримку, ніж ваші DNS-сервери за промовчанням.

У розділі поширених запитань служба стверджує, що застосовує алгоритми білого списку, щоб переконатися, що законні домени не заблоковані випадково. Однак він не вдається до деталей щодо методів білого списку.

Послуга також підтримує мережі IPv4 та IPv6. Однак, на відміну від Google Public DNS та Cloudflare DNS, Quad9 не підтримує механізм DNS64 для перекладу адрес IPv4 для мереж, які не підтримують IPv6.

Конфіденційність та безпека

Окрім блокування зловмисних доменів, Quad9 також вживає чимало кроків для захисту конфіденційності своїх користувачів.

Відповідно до часто заданих питань, він не реєструє IP-адресу користувачів. Однак він реєструє узагальнену інформацію про геолокацію запитуючого комп'ютера (міста, штату, країни), яку він використовує для аналізу шкідливих доменів, а також передає їх своїм партнерам з розвідки загроз.

Служба також заявляє, що не співвідносить та не поєднує інформацію з їхніх журналів з вашою IP-адресою або будь-якою особистою інформацією, яку ви могли надати Quad9. Послуга також зобов'язується не передавати жодну із зареєстрованих даних маркетологам.

Щоб додатково захистити вашу конфіденційність, Quad9 використовує протоколи DNS-Over-TLS, DNS-Over-HTTPS та DNSCrypt для автентифікації, шифрування та навіть анонімізації зв'язку між вашим комп’ютером та вирішувачами Quad9. Використання цих протоколів гарантує, що будь-яка сторона посередині, наприклад ваш Інтернет-провайдер, не зможе бачити веб-сайти, до яких ви отримуєте доступ.

Quad9 забезпечує перевірку розширень безпеки DNS (DNSSEC) на своїх вирішувачах для захисту від підміни домену та інших видів атак, що мають на меті повернення помилкових даних. Іншими словами, Quad9 криптографічно забезпечить відповідь, яку він отримує, збігається із передбачуваною відповіддю оператора домену для доменів, що реалізують DNSSEC.

Використання та продуктивність

Сервіс отримує свою назву від IP-адреси свого розв'язувача DNS; 9.9.9.9. Послуга працює як будь-який інший загальнодоступний DNS-сервер, за винятком того, що вона не вирішує веб-сайти, позначені як шкідливі.

Основною IP-адресою Quad9 є 9.9.9.9, що включає список блокування, перевірку DNSSEC та інші функції безпеки. Послуга також надає незахищену службу DNS, за допомогою якої можна визначити, чи є помилкові спрацьовування у стрічці загроз Quad9 або помилки DNSSEC із певним доменом. Незахищена послуга доступна о 9.9.9.10.

Як завжди, найкраще вносити зміни в DNS-сервер як на маршрутизаторі, так і на пристроях кінцевих точок, щоб вони продовжували використовувати вибраний вами DNS-сервер навіть тоді, коли підключені до ненадійних мереж, таких як бібліотека чи кафе.

Користувачі Android можуть використовувати додаток Quad9 Connect, щоб перейти до послуги одним натисканням. Якщо ввімкнено, програма буде направляти всі запити DNS з усіх програм на вашому пристрої на сервери Qucast9 anycast через зашифроване з’єднання DNS-Over-TLS.

Ви можете використовувати програму для перегляду статистичних даних про запити DNS, які були спрямовані через програму, включаючи кількість заблокованих запитів. Він також покаже вам деталі щодо окремих запитів DNS і дасть вам можливість повідомляти про шкідливі домени.

Що стосується продуктивності, Quad9 відстає від багатьох інших популярних публічних служб DNS. За даними DNSperf.com, у серпні 2022-2023 року Quad9 мав середню швидкість запиту в Європі 30,25 мс, що було достатньо лише для 8 місця. Це вийшло трохи краще в Північній Америці, де він увійшов на 7-му місці із середнім часом 20,38 мс.

Ефективність роботи Quad9 погіршилася в Азії з жалюгідним середнім часом запитів 74,12 мс. Завдяки диким коливанням DNSperf.com зафіксував середню швидкість Quad9 у всьому світі на рівні 43,12 мс, розмістивши його на 8-му місці, що значно відстає від багатьох аналогів, таких як Google Public DNS та Cloudflare DNS.

Однак для отримання більш точних результатів слід скористатися сценарієм перевірки продуктивності DNS, який запитує багато популярних загальнодоступних служб DNS з вашого місця розташування. Ви можете використовувати скрипт bash з Windows, використовуючи рівень сумісності WSL. Результати цього сценарію відображатимуть справжню ефективність послуги, оскільки вони запускаються з вашого комп’ютера через ваше з’єднання з Інтернетом.

Остаточний вердикт

Головною привабливістю Quad9 є його кураторський список, який не дозволить вам відвідувати домени, на яких розміщується шкідливий вміст. У зв'язку з цим служба перевершує конкуренцію в різних сторонніх тестах.

Недоліком є те, що показник додаткового захисту є досить серйозним. Quad9 значно перевершує багато загальнодоступних служб DNS, включаючи наш поточний фаворит Cloudflare DNS. Крім того, ви можете використовувати альтернативні DNS-сервери Cloudflare для блокування зловмисного програмного забезпечення, хоча воно не працює так само добре, як Quad9 у незалежних тестах. Крім того, хоча Quad9 дійсно пропонує додаток для Android, це робить і багато його однолітків.

Враховуючи все, існує два типи користувачів, які хочуть використовувати Quad9. Послуга буде корисною в основному для користувачів, для яких блокування шкідливих програм на рівні DNS є важливим, навіть якщо воно вимагає покарання за продуктивність. По-друге, Quad9 отримає резонанс серед користувачів, які воліють довіряти свої запити DNS неприбутковій організації замість комерційної корпорації. Якщо ви належите до будь-якого табору, ви будете задоволені Quad9. Однак якщо продуктивність має першочергове значення, тоді шукайте деінде.