DNS over HTTPS (DoH)
DNS over HTTPS, especificado en el RFC 8484, transporta las consultas DNS dentro de peticiones HTTPS normales, de forma que la resolución va cifrada y no se distingue del tráfico web. Da confidencialidad a la consulta y no dice nada sobre si la respuesta es auténtica, que es otro problema distinto con otra solución distinta.
Cifrado y autenticación no son la misma garantía, y confundir uno con la otra es el error recurrente en este asunto. Este protocolo esconde la consulta a cualquiera que esté por el camino. DNSSEC firma la respuesta para que un resolutor pueda demostrar que no la manipularon, y lo hace en claro. Son complementarios, y ninguno sustituye al otro. Hay dos transportes emparentados que hacen el mismo trabajo sobre otros portadores, DNS over TLS en su propio puerto y DNS over QUIC, y la diferencia importa en la operación: un puerto dedicado se puede bloquear, y el tráfico mezclado en el 443 no.
Ese último punto es la consecuencia de seguridad para el defensor. Buena parte del filtrado de salida corporativo, del bloqueo por inteligencia de amenazas y de la telemetría está construida sobre poder ver el DNS. Un navegador o una aplicación que resuelve nombres a través de un proveedor externo por HTTPS se lleva todo eso por delante en silencio, y el cambio suele ser un valor por defecto y no una decisión del usuario.
La postura que funciona no es pelearse con el protocolo, sino adueñarse de él: montar el resolutor cifrado propio de la organización, apuntar a él los clientes por política, y bloquear o detectar la resolución que se vaya a otra parte. Desde la perspectiva ofensiva esa misma propiedad es útil en el sentido contrario, porque un canal con aspecto de tráfico web es un sitio cómodo donde esconder una llamada de vuelta, y por eso precisamente la política de salida tiene que nombrar el resolutor y no el protocolo.