Nhà cung cấp dịch vụ Internet của bạn đã theo dõi việc duyệt web của bạn suốt thời gian qua — đây là cách khắc phục trên Windows 11

Tôi luôn coi mình là người khá quan tâm đến quyền riêng tư. Tôi sử dụng trình quản lý mật khẩu, tôi đã thiết lập xác thực hai yếu tố trên mọi thứ quan trọng, và tôi đã từ bỏ việc sử dụng các máy chủ DNS mặc định của nhà cung cấp dịch vụ Internet từ nhiều năm trước. Nhưng phải đến vài tháng trước, khi tôi đang mò mẫm trong cài đặt mạng của Windows 11 vì một lý do hoàn toàn khác, tôi mới tình cờ phát hiện ra điều gì đó khiến tôi cảm thấy như mình đã để một cửa sổ hé mở suốt thời gian qua.

Có một cài đặt mã hóa gốc được giấu trong Windows 11 giúp khóa một trong những lỗ hổng quyền riêng tư thường bị bỏ qua nhất trên bất kỳ máy tính kết nối internet nào, gọi là DNS qua HTTPS. Việc bật nó chỉ mất vài phút, hoàn toàn miễn phí, và, vì hiếm khi ai nói về nó, hầu hết mọi người đều không biết nó tồn tại.

Bộ định tuyến của bạn đã kể lại thói quen duyệt web của bạn suốt thời gian qua

Hãy coi đó là tài liệu đọc yêu thích của nhà cung cấp dịch vụ Internet của bạn

Trước khi đi vào cách khắc phục, bạn nên hiểu những gì thực sự xảy ra mỗi khi bạn truy cập một trang web. Bạn nhập một địa chỉ, và trước khi trình duyệt của bạn kịp tải bất cứ thứ gì, máy tính của bạn phải hỏi một máy chủ Hệ thống Tên Miền (DNS) để tra cứu địa chỉ IP tương ứng cho tên miền đó. Hãy nghĩ về nó như việc gọi dịch vụ tra cứu danh bạ để lấy số điện thoại trước khi bạn có thể thực hiện cuộc gọi.

Phần khó chịu là việc tra cứu này từ trước đến nay xảy ra dưới dạng văn bản thuần túy, hoàn toàn không được mã hóa, qua mạng của bạn. Điều đó có nghĩa là nhà cung cấp dịch vụ Internet của bạn có thể thấy mọi tên miền mà máy của bạn yêu cầu. Bất kỳ ai khác trên cùng mạng cũng có thể nhìn thấy, điều này trở thành mối quan tâm thực sự khi sử dụng Wi-Fi công cộng tại quán cà phê, sân bay hoặc khách sạn — ngay cả khi Wi-Fi công cộng không phải là mối nguy mà các công ty VPN muốn bạn nghĩ theo mặc định. Ngay cả khi mọi trang web bạn truy cập sử dụng HTTPS (biểu tượng ổ khóa nhỏ trong trình duyệt của bạn), yêu cầu DNS trước khi kết nối vẫn bị lộ. Trong khi HTTPS mã hóa đường dẫn cụ thể và nội dung của lần truy cập của bạn — như bài báo bạn đang đọc — thì truy vấn DNS ban đầu vẫn công khai rõ ràng máy chủ đích. Ai đó theo dõi lưu lượng của bạn sẽ không thấy các tương tác cụ thể của bạn, nhưng họ sẽ thấy đích đến của bạn khá rõ ràng.

Đây không phải là một trường hợp bi quan cực đoan. Ở Hoa Kỳ, sau khi Quốc hội và tổng thống bãi bỏ các quy tắc bảo mật băng thông rộng của FCC vào năm 2017, các nhà cung cấp dịch vụ Internet (ISP) đã có nhiều tự do hơn để thu thập và sử dụng dữ liệu duyệt web của khách hàng dưới một khuôn khổ ít hạn chế hơn. Hơn nữa, ngay cả khi bạn tin tưởng ISP của mình, DNS plaintext vẫn dễ bị "giả mạo" hoặc "chiếm quyền điều khiển," trong đó các tin tặc chuyển hướng bạn đến các trang web độc hại bằng cách chặn các yêu cầu DNS của bạn. Sự phơi bày này là bình thường và hầu như không thể nhìn thấy, điều này chính là lý do khiến người ta dễ dàng bỏ qua nó.

Đây là cách để bật DNS qua HTTPS (DoH)

May mà không cần dòng lệnh

DNS over HTTPS (DoH) là giải pháp, và Windows 11 tích hợp hỗ trợ cho nó trực tiếp vào hệ điều hành. Tính năng này mã hóa các truy vấn DNS của bạn trong lưu lượng HTTPS tiêu chuẩn qua cổng 443, làm cho chúng không thể phân biệt với bất kỳ yêu cầu web bảo mật nào khác. Không ai theo dõi kết nối của bạn có thể thấy bạn đang giải quyết gì.

Mặc dù có nhiều cách khác nhau để thay đổi cài đặt máy chủ DNS trên Windows 11, cách dễ nhất là thông qua giao diện người dùng đồ họa (GUI). Mở Cài đặt, sau đó đi tới Mạng & Internet. Nhấp vào Wi-Fi hoặc Ethernet, tùy thuộc vào cách máy của bạn kết nối với internet. Trên màn hình tiếp theo, chọn Thuộc tính phần cứng. Cuộn xuống cho đến khi bạn thấy Gán máy chủ DNS, sau đó nhấp vào Chỉnh sửa bên cạnh nó.

Trong hộp thoại xuất hiện, chuyển danh sách thả xuống từ Automatic (DHCP) sang Manual, và bật công tắc IPv4. Bây giờ bạn sẽ cần nhập một cặp địa chỉ máy chủ DNS hỗ trợ DoH. Có ba tùy chọn miễn phí đáng tin cậy mà bạn nên biết:

Cloudflare: DNS Ưu Tiên 1.1.1.1, DNS Thay Thế 1.0.0.1Google: DNS Ưu Tiên 8.8.8.8, DNS Thay Thế 8.8.4.4Quad9: DNS Ưu Tiên 9.9.9.9, DNS Thay Thế 149.112.112.112

Cloudflare có xu hướng là nhanh nhất trên toàn cầu và có chính sách bảo mật mạnh mẽ. Quad9, có trụ sở tại Thụy Sĩ, bổ sung một lớp bảo vệ bằng cách chặn kết nối tới các tên miền độc hại đã biết. Các máy chủ của Google cực kỳ đáng tin cậy và có thời gian hoạt động cao, mặc dù nó giữ một số dữ liệu truy vấn trong 24 đến 48 giờ cho mục đích chẩn đoán. Hãy chọn bất kỳ cái nào phù hợp nhất với ưu tiên của bạn.

Khi bạn đã nhập các địa chỉ, hãy tìm danh sách thả xuống DNS over HTTPS dưới mỗi trường máy chủ và đặt nó thành Bật (Mẫu Tự động). Điều này yêu cầu Windows xử lý việc mã hóa một cách tự động mà không cần cấu hình thủ công. Sau đó, tìm công tắc Fallback to plaintext và tắt nó. Bước này dễ bị bỏ qua, nhưng rất quan trọng: để Fallback bật có thể khiến hệ thống của bạn âm thầm chuyển về các truy vấn DNS không mã hóa nếu kết nối mã hóa gặp sự cố, điều này làm mất hoàn toàn mục đích của thiết lập này.

Nếu bạn đang sử dụng IPv6, điều mà nhiều nhà cung cấp dịch vụ Internet hiện đại mặc định sử dụng, thì rất quan trọng để cuộn xuống, bật công tắc đó, và nhập các địa chỉ IPv6 tương ứng cho bất kỳ nhà cung cấp nào bạn đã chọn. Bỏ qua bước này có thể dẫn đến các lỗ hổng tương tự như những gì gây ra bởi rò rỉ DNS, có thể phá hủy tính ẩn danh khi sử dụng VPN, khi máy tính của bạn gửi các truy vấn không được mã hóa qua IPv6 ngay cả khi IPv4 đã được bảo mật. Địa chỉ của Cloudflare là 2606:4700:4700::1111 và 2606:4700:4700::1001 và của Quad9 là 2620:fe::fe và 2620:fe::9. Nhấn Lưu, và bạn đã hoàn tất.

Để xác nhận nó đã hoạt động, hãy quay lại màn hình Thuộc tính Phần cứng. Ngoài các địa chỉ DNS của bạn, bạn bây giờ nên thấy một nhãn được ghi Đã Mã hóa. Nhãn đó là điểm chính, xác nhận rằng các yêu cầu miền của bạn hiện đã được giấu khỏi con mắt tò mò.

Mọi ứng dụng trên PC của bạn đều hưởng lợi từ thay đổi này

Mặc dù đúng là việc thay đổi cài đặt DNS của trình duyệt là một bước quan trọng để bảo vệ quyền riêng tư — và Chrome, Firefox, cũng như Edge đều cung cấp các cài đặt DoH riêng mà bạn nên bật — DoH cấp trình duyệt chỉ mã hóa các truy vấn DNS được tạo ra bởi những trình duyệt cụ thể đó.

DoH ở cấp hệ thống của Windows 11 mã hóa mọi yêu cầu DNS rời khỏi máy của bạn, bất kể ứng dụng nào kích hoạt nó. Điều đó bao gồm cả ứng dụng email của bạn, trình khởi chạy trò chơi, Spotify kiểm tra cập nhật nền, chính Windows Update, và mọi phần mềm khác thực hiện yêu cầu mạng mà bạn không chủ động theo dõi. Cài đặt trình duyệt không bao phủ được điều đó.