DNS-lektest

Zie DNS als het telefoonboek van het internet: telkens wanneer je een website-adres typt, moet je apparaat de werkelijke locatie van de server "opzoeken". Een DNS-lek treedt op wanneer deze zoekopdrachten langs de bescherming van je VPN glippen en rechtstreeks naar je internetprovider gaan in plaats van via de beveiligde servers van je VPN.

In feite kan je ISP, terwijl je VPN je browseverkeer versleutelt, nog steeds precies zien welke websites je bezoekt, omdat die DNS-verzoeken uit de tunnel ontsnappen. Het is alsof je een kogelvrije auto hebt, maar de ramen open laat staan.

De meeste DNS-lekken ontstaan door de manier waarop besturingssystemen internetverbindingen afhandelen. Windows staat hier vooral berucht om: het heeft een "behulpzame" functie die DNS-verzoeken tegelijk naar meerdere servers stuurt, waaronder de servers van je ISP, zelfs wanneer je met een VPN bent verbonden.

Soms is het een IPv6-probleem. Als je internetprovider het nieuwere IPv6-protocol ondersteunt, maar je VPN alleen IPv4-verkeer afhandelt, glippen die IPv6-verzoeken zo langs de bescherming van je VPN. Andere keren komt het simpelweg door slechte VPN-software die niet al je DNS-verkeer correct opvangt en doorstuurt.

Misschien heb je ook handmatige DNS-instellingen op je computer geconfigureerd die de instellingen van je VPN overschrijven, of geeft je systeem gewoon voorrang aan de verkeerde netwerkverbinding.

Je ISP kan elke website zien die je bezoekt, wanneer je die bezoekt en hoe vaak je terugkomt. Hij kent je echte IP-adres en locatie, wat het hele doel van het gebruik van een VPN volledig tenietdoet.

Na verloop van tijd ontstaat zo een gedetailleerd profiel van je browsegewoonten. Als je geblokkeerde content probeert te bekijken of je privacy wilt behouden, kondigen DNS-lekken je bedoelingen in feite aan bij je ISP en mogelijk bij overheidsinstanties. Zelfs ogenschijnlijk onschuldig browsen kan problematisch zijn wanneer het wordt gecombineerd met andere gegevens om je persoonlijk te identificeren.

DNS-lektests zijn vernuftig eenvoudig. Wanneer je een testpagina bezoekt, laadt deze verschillende bronnen van speciale domeinen die uitsluitend voor testdoeleinden bestaan. Terwijl je browser deze bronnen probeert te laden, moet hij DNS-verzoeken doen om uit te zoeken waar deze testdomeinen zich bevinden.

De test houdt in de gaten welke DNS-servers op deze verzoeken reageren. Als je goed beschermd bent door een VPN, zouden alleen de DNS-servers van je VPN-provider mogen reageren. Als je reacties ziet van de servers van je ISP of van andere onverwachte locaties, heb je een lek.

Geavanceerdere tests voeren in de loop van de tijd meerdere zoekopdrachten uit om sporadische lekken op te sporen die bij één enkele test misschien niet zichtbaar zijn.

IPv4-lekken betreffen de traditionele internetadressen waarmee de meeste mensen bekend zijn, terwijl IPv6-lekken optreden bij het nieuwere, langere adressysteem dat IPv4 geleidelijk vervangt.

Het grootste probleem is dat veel VPN-providers IPv6 nog steeds niet volledig ondersteunen, dus zelfs als je IPv4-verkeer perfect beschermd is, gaan je IPv6-verzoeken mogelijk rechtstreeks naar je ISP. Dit komt steeds vaker voor naarmate internetproviders IPv6-ondersteuning uitrollen.

IPv6-lekken kunnen voor je privacy zelfs erger zijn, omdat IPv6-adressen soms informatie bevatten over de hardware van je apparaat, waardoor je gemakkelijker te volgen bent over verschillende netwerken.

Zonder VPN gaan je DNS-verzoeken sowieso normaal gesproken naar je ISP, dus dan is het in die context niet echt een "lek". Toch wil je misschien om privacyredenen alternatieve DNS-servers gebruiken.

Veel mensen stellen ook zonder VPN DNS-diensten van derden in om monitoring door de ISP te vermijden, contentfilters te omzeilen of simpelweg een snellere en betrouwbaardere dienst te krijgen. Dit is vooral belangrijk op openbare WiFi-netwerken, waar je de aangeboden DNS-servers niet kunt vertrouwen.

De privacyvoordelen zijn niet zo sterk als bij het gebruik van een VPN, maar het wisselen van DNS-provider kan tracking nog steeds verminderen en je browse-ervaring verbeteren.

De meeste gerenommeerde DNS-lektest-sites zijn volkomen veilig in gebruik. Ze vragen geen persoonlijke informatie en onthullen doorgaans alleen welke DNS-servers je gebruikt — informatie die toch al enigszins openbaar is.

Je moet je echter beperken tot bekende testdiensten en elke site vermijden die wil dat je software downloadt of die verdachte resultaten geeft. Sommige louche testsites verzamelen misschien zelfs gegevens over bezoekers of verspreiden malware via advertenties.

Gebruik bij twijfel meerdere testsites om je resultaten te verifiëren, en overweeg om testtools te gebruiken die worden aangeboden door gevestigde VPN-bedrijven of privacyorganisaties in plaats van willekeurige websites die je via zoekmachines vindt.

De eenvoudigste oplossing is om een VPN te kiezen die de DNS-bescherming automatisch regelt — de meeste kwalitatief goede VPN-diensten bevatten deze functie tegenwoordig. Als je last hebt van lekken, probeer dan de DNS-servers van je computer handmatig in te stellen zodat ze overeenkomen met de servers van je VPN-provider.

Bij hardnekkige problemen moet je IPv6 misschien volledig uitschakelen als je VPN het niet goed ondersteunt. Sommige mensen gebruiken liever onafhankelijke DNS-diensten zoals Cloudflare (1.1.1.1) of Quad9, hoewel dit niet dezelfde anonimiteit biedt als het gebruik van de DNS-servers van je VPN.

Wis na het maken van wijzigingen altijd je DNS-cache en voer een lektest uit om er zeker van te zijn dat de oplossing heeft gewerkt. Soms moet je je netwerkverbinding opnieuw opstarten of zelfs je computer opnieuw opstarten voordat de wijzigingen van kracht worden.

DNS-lekbescherming voorkomt specifiek dat je domeinnaam-zoekopdrachten uit je VPN-tunnel ontsnappen. Het draait altijd op de achtergrond en leidt DNS-verzoeken onopvallend om om ze veilig te houden.

Een kill switch is drastischer: het is een noodrem die alle internettoegang afsnijdt als je VPN-verbinding wegvalt. Zie DNS-lekbescherming als iets dat een langzaam privacylek voorkomt, terwijl een kill switch een plotselinge, volledige blootstelling voorkomt als je VPN helemaal uitvalt.

Je wilt echt allebei de functies samen laten werken. DNS-lekbescherming pakt de subtiele, voortdurende bedreigingen aan, terwijl de kill switch je beschermt op die momenten waarop je VPN-verbinding hapert of volledig uitvalt.

WebRTC-lekken zijn een heel ander verhaal, maar ze zijn net zo gevaarlijk voor VPN-gebruikers. WebRTC is een browsertechnologie die websites helpt om directe verbindingen op te zetten voor zaken als videogesprekken, maar het kan ook je echte IP-adres blootleggen door je VPN volledig te omzeilen.

Terwijl DNS-lekken laten zien welke websites je bezoekt, onthullen WebRTC-lekken waar je je daadwerkelijk bevindt. Ze treden vaak samen op, wat een dubbele privacyschending oplevert. Het goede nieuws is dat WebRTC-lekken gemakkelijker op te lossen zijn — je kunt WebRTC meestal uitschakelen in de instellingen van je browser of een extensie installeren die deze verzoeken blokkeert.