DoH ปกปิด DNS ไม่ได้ทั้งหมด ISP ยังมองเห็น IP และ SNI

การตั้งค่า AdGuard Home พร้อมกับใช้ **DNS‑over‑HTTPS (DoH) บนเครือข่ายบ้านหลายคนอาจทำให้คิดว่าการสืบค้นเว็บไซต์ของตนจะถูกปกปิดอย่างสมบูรณ์จากผู้ให้บริการอินเทอร์เน็ต (ISP) อย่างไรก็ตาม การทดสอบเพิ่มเติมของผู้เขียนบทความบน XDA‑Developers พบว่า แม้ DNS จะส่งผ่านแบบเข้ารหัสแล้ว ISP ยังสามารถสังเกตข้อมูลอื่น ๆ ที่เปิดเผยกิจกรรมออนไลน์ได้อยู่

Overview

การใช้ DoH นั้นเป็นวิธีหนึ่งที่ช่วยป้องกันการดักฟังคำขอ DNS ระหว่างคอมพิวเตอร์และเซิร์ฟเวอร์ชื่อโดเมน ผู้เขียนตั้งค่า AdGuard Home เป็นตัวกลางจัดการ DNS ภายในบ้าน และเลือกผู้ให้บริการ DoH ที่เชื่อถือได้ เพื่อให้แน่ใจว่าการแปลงชื่อเป็น IP จะไม่ถูกเปิดเผยต่อเครือข่ายภายนอก การตรวจสอบด้วยเครื่องมือดักจับแพ็กเก็ตยืนยันว่า คำขอ DNS ถูกส่งผ่านช่องทางที่เข้ารหัสอย่างแท้จริง

แม้ว่าจะได้ผลลัพธ์เช่นนั้น ผู้เขียนยังสงสัยว่าหลังจากขั้นตอนการแปลงชื่อเสร็จสิ้นแล้ว การสื่อสารต่อไปกับเซิร์ฟเวอร์เป้าหมายจะปลอดภัยหรือไม่ ผลการตรวจสอบพบว่า ISP สามารถเห็นข้อมูลอื่น ๆ ที่ไม่ได้ถูกเข้ารหัสโดย DoH ซึ่งทำให้ความเป็นส่วนตัวยังคงมีช่องโหว่อยู่

How Encrypted DNS Works

DNS แบบดั้งเดิม (UDP/TCP 53) ส่งคำขอและการตอบกลับในรูปแบบข้อความธรรมดา ทำให้ง่ายต่อการดักฟังหรือแก้ไขโดยผู้ที่แทรกซึมระหว่างเครื่องลูกข่ายกับรีโซลเวอร์ การเข้ารหัสด้วย DoH จะบรรจุคำขอ DNS ภายในแพ็กเก็ต HTTPS แล้วส่งผ่านพอร์ต 443 ทำให้ข้อมูลถูกป้องกันด้วย TLS

ข้อดีหลักของ DoH ได้แก่

• ปิดบังชื่อโดเมนที่ผู้ใช้ต้องการแปลจากเครือข่ายสาธารณะ
• ลดความเสี่ยงต่อการโจมตีแบบ DNS spoofing หรือ cache poisoning
• สามารถผสมรวมกับระบบกรองโฆษณาและมัลแวร์โดยอาศัย AdGuard Home

อย่างไรก็ตาม DoH เพียงครอบคลุมขั้นตอน “lookup” ของ DNS เท่านั้น ไม่ได้เข้ารหัสการสื่อสารต่อเนื่องหลังจากที่ได้รับ IP ของเซิร์ฟเวอร์เป้าหมาย

What Remains Visible to ISPs

แม้ว่าคำขอ DNS จะถูกซ่อนอยู่ แต่ ISP ยังคงสามารถมองเห็นข้อมูลสำคัญอื่น ๆ ได้ เช่น

• IP address ของเซิร์ฟเวอร์ปลายทางที่ผู้ใช้เชื่อมต่อหลังจากได้รับการแปลงชื่อโดเมนแล้ว
• ข้อมูลหัวข้อ **SNI (Server Name Indication) ในการตั้งค่า TLS รุ่นก่อน 1.3 ซึ่งบ่งบอกชื่อโฮสต์ที่ต้องการสื่อสารแม้ว่าเนื้อหาการแลกเปลี่ยนข้อมูลจะเข้ารหัสอยู่แล้ว
• ปริมาณและรูปแบบของทราฟฟิก (เช่น การเชื่อมต่อหลายครั้งในช่วงเวลาสั้น) ที่อาจบ่งชี้ลักษณะการใช้งานแอปพลิเคชันหรือบริการใด ๆ

ดังนั้น แม้ DoH จะทำให้ชื่อโดเมนไม่ถูกเปิดเผยระหว่างขั้นตอน DNS แต่ ISP ยังคงมีข้อมูลที่สามารถสรุปได้ว่าผู้ใช้กำลังเข้าถึงเว็บไซต์หรือบริการใดโดยอิงจาก IP และ SNI

Practical Implications

ผลกระทบต่อผู้ใช้งานทั่วไปคือ ความเข้าใจผิดเกี่ยวกับ “ความเป็นส่วนตัวแบบเต็มรูปแบบ” ที่มาจากการใช้ DoH เพียงอย่างเดียว ผู้ที่ต้องการปกปิดข้อมูลให้มากที่สุดควรพิจารณาแนวทางเพิ่มเติม เช่น

• ใช้ VPN หรือโซลูชันเครือข่ายส่วนตัวที่เข้ารหัสทุกระดับของทราฟฟิก ตั้งแต่ DNS จนถึงการส่งข้อมูล HTTP/HTTPS
• เลือกใช้โปรโตคอล TLS 1.3 ที่มีการเข้ารหัส SNI ด้วย **Encrypted Client Hello (ECH) ซึ่งยังอยู่ในขั้นตอนทดลองและอาจไม่พร้อมใช้งานทั่วไประยะยาว
• ตรวจสอบว่าผู้ให้บริการ DoH รองรับฟีเจอร์ **DNS over‑TLS (DoT) ร่วมด้วยเพื่อเพิ่มความหลากหลายของช่องทางเข้ารหัส

การทำความเข้าใจขอบเขตของแต่ละเทคโนโลยีจึงเป็นสิ่งสำคัญในการออกแบบระบบเครือข่ายที่มีระดับความปลอดภัยตรงตามความต้องการ

Recommendations

สำหรับผู้ใช้ทั่วไปและองค์กรที่ให้ความสำคัญกับข้อมูลส่วนบุคคล แนะนำให้ทำตามขั้นตอนต่อไปนี้

• ประเมินความเสี่ยง – ตรวจสอบว่าข้อมูลใดเป็นสิ่งสำคัญที่สุดและต้องการปกปิดจาก ISP หรือไม่
• ผสานหลายเทคนิค – ใช้ DoH ควบคู่กับ VPN หรือโซลูชัน Zero‑Trust Network Access (ZTNA) เพื่อให้ข้อมูลถูกเข้ารหัสตั้งแต่ระดับ DNS จนถึงแอปพลิเคชัน
• เลือกผู้ให้บริการที่มีความโปร่งใส – ตรวจสอบนโยบายการเก็บบันทึกของผู้ให้บริการ DoH และ VPN เพื่อลดโอกาสในการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต

โดยสรุป การใช้ DoH อย่างเดียวไม่สามารถทำให้ “อินเทอร์เน็ตเป็นส่วนตัวอย่างสมบูรณ์” ได้ ผู้ใช้งานควรพิจารณาเพิ่มชั้นการเข้ารหัสอื่น ๆ เพื่อลดช่องโหว่ที่ ISP ยังมองเห็นได้

Summary

แม้ DNS‑over‑HTTPS จะทำให้ขั้นตอนแปลงชื่อโดเมนเป็นข้อมูลเข้ารหัสและปกปิดจากการดักฟังของ ISP แต่การสื่อสารต่อไปยังเซิร์ฟเวอร์ปลายทางยังคงเปิดเผย IP address และ SNI ที่สามารถบ่งชี้กิจกรรมออนไลน์ได้ การเพิ่มระดับความปลอดภัยด้วย VPN หรือเทคโนโลยี TLS 1.3 จึงเป็นวิธีที่จำเป็นเพื่อให้ความเป็นส่วนตัวบนอินเทอร์เน็ตสมบูรณ์ยิ่งขึ้น