Birçok kişi proxy IP kullanınca tamamen anonim olduğunu düşünür, ancak alan adı çözümleme aşaması hâlâ bilgi sızdırabilir. Bu rehber DNS sızıntısının ne olduğunu, nasıl oluştuğunu, hangi riskleri taşıdığını ve onu önlemek için uygulanabilecek beş pratik yöntemi açıklıyor.
Birçok kişi proxy kullandığında veya IP adresini değiştirdiğinde internette "görünmez" olduğunu düşünür. Ancak güvenlik testlerinde sıkça gözden kaçan bir açık ortaya çıkar: IP değişmiş olsa bile ziyaret edilen sitelere ilişkin bilgiler internet servis sağlayıcısına sessizce ulaşabilir. Bu duruma DNS sızıntısı denir. Çevrimiçi gizliliğinizi gerçekten kontrol etmek istiyorsanız önce bunun nasıl gerçekleştiğini anlamanız gerekir.
Önce şunu netleştirelim: DNS ne işe yarar?
DNS (Domain Name System), internetin "telefon rehberi" gibi düşünülebilir. Tarayıcıya google.com gibi bir alan adı yazdığınızda bilgisayar bu ismin hangi adrese karşılık geldiğini kendiliğinden bilmez. Bir DNS sunucusuna "Bu alan adının IP adresi nedir?" diye sorar. Yanıt geldikten sonra siteye gerçekten bağlanabilir.
DNS sızıntısı nedir?
Kısaca DNS sızıntısı, proxy gibi şifreli bir araç kullandığınız hâlde şifreli kanal üzerinden gitmesi gereken alan adı çözümleme isteklerinin yanlışlıkla yerel ağ üzerinden doğrudan internet servis sağlayıcınızın (ISP) DNS sunucularına gönderilmesidir. Böylece hangi siteleri ziyaret ettiğiniz açığa çıkabilir.
Bunu, içeriği şifrelenmiş bir mektubun alıcı adresinin zarfın üzerine çok büyük harflerle yazılmasına benzetebilirsiniz. İçerik güvenlidir ama taşıyıcı mektubun nereye gittiğini görür. DNS istekleri yanlış rotaya saparsa gizlilik, bağlantının görünmeyen bir noktasında sızabilir.
Genellikle nasıl oluşur?
Aşağıdaki durumlar DNS sızıntılarının en yaygın nedenlerindendir:
- Yanlış sistem yapılandırması: Bazı sistemler hız için aynı anda birden fazla DNS sunucusuna sorgu gönderir ve en hızlı yanıtı kullanır. Yerel ISP’nin DNS sunucusu çoğu zaman daha hızlıdır; bu nedenle sorgu şifreli kanalı atlayabilir.
- Ağ ortamı değişikliği: Ev Wi-Fi’sinden mobil erişim noktasına veya ofisten kafeye geçerken cihazın yeni bir IP alması gerekir. Araçta bağlantı kesilmesine karşı koruma yoksa, kısa yeniden bağlanma aralığında sistem önce ISP’nin DNS sunucusuna bağlanabilir.
- Yazılım özellikleri arasındaki çakışma: Bazı ISP’ler trafiği yakalayıp yönlendirmek için "şeffaf DNS proxy" kullanır. Yazılım içinden DNS ayarını değiştirseniz bile sorgular yeniden sağlayıcının sunucularına zorlanabilir.
- IPv6 desteğinin olmaması: Ağlar kademeli olarak IPv4’ten IPv6’ya geçerken birçok araç yalnızca IPv4 destekler. IPv6 destekli bir siteye girildiğinde IPv6 DNS sorguları şifreli tünelin dışına çıkıp şifresiz bir yoldan ilerleyebilir.
Sızıntının riskleri nelerdir?
Bu çözümleme adımı küçük görünse de etkileri gerçektir:
- Etkinlikleriniz izlenebilir: DNS sorgu kayıtları hangi siteleri ziyaret ettiğinizi gösterebilir ve çevrimiçi davranış profilinizin oluşturulmasına yardımcı olabilir.
- Ağ ortamınız ve konumunuz açığa çıkabilir: DNS sunucusunun bağlı olduğu kurum ve bölgeden gerçek konumunuz ile ISP’niz tahmin edilebilir, böylece konum gizleme etkisiz kalabilir.
- Yönlendirme saldırısı veya phishing riski: Yerel ISP’nin DNS koruması zayıfsa çözümleme sonuçları değiştirilebilir; örneğin bir banka alan adı, gözle fark edilmesi zor sahte bir phishing sitesine yönlendirilebilir.
- Güvenlik politikaları etkisiz kalabilir: Kurumsal veya yüksek güvenlikli ortamlarda DNS sızıntıları erişim kontrollerini ve uyumluluk politikalarını aşabilir.
DNS sızıntısı nasıl test edilir?
En doğrudan yöntem, çevrimiçi bir DNS sızıntı testi kullanmaktır. Sonuçlarda gerçek internet servis sağlayıcınızın adı görünüyorsa DNS istekleri yanlış yoldan dışarı çıkıyor demektir. Bu testi proxy bağlantısını kurduktan sonra yapmak ve rutin kontrollerin bir parçası hâline getirmek faydalıdır.
DNS sızıntısını önlemenin beş yolu
- Güvenlik duvarıyla DNS çıkışını sınırlandırın: DNS isteklerine yalnızca belirlenmiş sunuculara izin verin ve yerel ağ arayüzünden 53 numaralı port trafiğini engelleyin. Araç bozulduğunda veya ağ değiştiğinde ek bir koruma sağlar.
- Bağlantı kesilme koruması olan güvenilir bir şifreli hizmet seçin: Sunucu tarafında özel ve şifreli DNS kullanın ve alan adı çözümlemesini tünele yönlendirin. İstemci tarafında ise bağlantı dalgalandığında verilerin genel ağa sızmasını önlemek için Kill Switch bulunması tercih edilir.
- Gerektiğinde IPv6’yı devre dışı bırakın: IPv4 ile IPv6 arasındaki uyumluluk sorunları sık görülen sızıntı kaynaklarındandır. Uygun durumlarda sistem ağ bağdaştırıcısından IPv6’yı geçici olarak kapatmak trafiğin korunan IPv4 üzerinden kalmasını sağlayabilir.
- Tarayıcıda DNS over HTTPS (DoH) özelliğini etkinleştirin: Başlıca tarayıcılar güvenli DNS’i destekler. DoH açıkken DNS sorguları şifreli HTTPS trafiğinin içine alınır ve ISP’nin açık metin sorguları tanıması zorlaşır.
- Çoklu hesap senaryolarında yapılandırılabilir bir ortam aracı kullanın: Birden fazla e-ticaret, sosyal medya veya reklam hesabını yönetiyorsanız hem sızıntı önleme hem de ayrı hesap ortamları gerekebilir. Tarayıcı ortamı düzeyinde yönetim burada yardımcı olabilir—PurpleMark her hesap için bağımsız bir tarayıcı ortamı oluşturmayı ve gerektiğinde ağ parametrelerini yapılandırmayı destekler. Böylece DNS çözümleme, ağ çıkışı ve fingerprint ayarları nispeten tutarlı ve kontrol edilebilir bir alanda tutulabilir, ortamların birbirine karışmasından kaynaklanan sızıntı ve ilişkilendirme riskleri azaltılabilir.
Hatırlatma: DNS ve WebRTC sızıntılarını önlemek, meşru kullanım ve gizliliği koruma amacı taşır; platform kurallarını aşmak veya yasaklı faaliyetler yürütmek için değildir.
Sonuç
DNS sızıntıları, kolayca gözden kaçan alan adı çözümleme aşamasında oluşur. Trafik şifrelenmiş ve IP gizlenmiş olsa bile DNS istekleri yanlış rotayı izlerse gerçek tarama davranışı kaydedilebilir ve kullanılabilir. Nedenleri anlamak, düzenli test yapmak ve güvenlik duvarı kuralları, DoH, IPv6 yönetimi ile ortam araçlarını birlikte kullanmak birden fazla sızıntı noktasını kapatmaya ve çevrimiçi gizliliği daha kapsamlı korumaya yardımcı olur.
