Apagando nuestro DNS público cifrado

Artículo original ↗ Discusión en Hacker News ↗

La decisión de Mullvad de apagar su servicio público de DNS cifrado y, en su lugar, financiar a Quad9, con sede en Suiza, plantea preguntas sobre la centralización, la presión por censura y cuánto deben confiar los usuarios en grandes resolutores centrados en la privacidad. Los comentaristas sopesan las ventajas de depender de Quad9 —que ofrece validación DNSSEC y bloqueo de malware, pero no bloqueo de anuncios y ha enfrentado órdenes judiciales de bloqueo en Europa— frente a ejecutar sus propias pilas de DNS recursivas, a menudo con bloqueo de anuncios, con herramientas como Unbound, Pi-hole o AdGuard Home. La conversación también aborda preocupaciones más amplias sobre la vigilancia estatal, la responsabilidad legal de los proveedores de DNS y cómo las actividades políticas del cofundador de Mullvad afectan la confianza de los usuarios.

Cierre de Mullvad y patrocinio de Quad9

  • Muchos ven patrocinar Quad9 en lugar de operar el propio DNS cifrado de Mullvad como algo pragmático y “brillante”, ya que permite que un especialista gestione el servicio.
  • Otros creen que llamar al DNS público “altamente especializado” es exagerado; ejecutar un pequeño resolvedor recursivo (por ejemplo, Unbound) para casa o para una pequeña organización se considera fácil. Contraargumento: operar un servicio anycast global con exposición legal es muy distinto de una configuración doméstica.
  • Algunos sospechan que la reducción de costes y el riesgo legal, más que la dificultad técnica, son los principales factores.

DNSSEC, DoH y compensaciones de seguridad

  • Quad9 advierte contra habilitar la validación DNSSEC en un forwarder cuando Quad9 ya valida; algunos consideraron esto “sospechoso” y se preocuparon por el envenenamiento upstream.
  • El hilo debate:
    • DNSSEC entre stub y recursivo esencialmente se reduce a un indicador “validado/inseguro”; para desconfiar de un resolvedor malicioso debes validar local o recursivamente.
    • La validación DNSSEC local es rara y frágil; un usuario se encontró con errores sutiles (Atlassian + systemd-resolved) y concluyó que “no es para no expertos”.
  • Algunos sostienen que el modelo de DNSSEC resulta incómodo para los stubs, lo que ayudó a popularizar DoH, pero otros recalcan que DoH no protege en absoluto contra un resolvedor malicioso.

Bloqueo de anuncios y opciones alternativas de DNS

  • Gran decepción porque Quad9 no ofrece bloqueo de anuncios ni la postura de “sin listas negras gubernamentales” que tenía Mullvad DNS.
  • Gran énfasis en el bloqueo de anuncios a nivel de sistema, especialmente en móviles y fuera de la red doméstica.
  • Alternativas sugeridas: NextDNS, ControlD, AdGuard DNS, Cloudflare “Families” (solo malware), dot.sb, resolvedores basados en DNS4EU, AdGuard Home, Pi-hole, Technitium, Unbound con listas de bloqueo comunitarias y configuraciones OpenWRT basadas en router.
  • Muchos recomiendan filtrado autohospedado (Pi-hole/AdGuard Home) + Quad9 (o similar) como upstream por privacidad y control; otros evitan el autohospedaje para usuarios no técnicos y usan servicios gestionados como NextDNS.

Centralización, censura y ley

  • Varios comentarios temen que empujar a los usuarios hacia Quad9 aumente la centralización de los resolvedores y haga las órdenes legales de bloqueo más atractivas y eficaces.
  • Quad9 ha afrontado órdenes de bloqueo judiciales (por ejemplo, en Alemania e Italia) por copyright; un caso en Alemania se ganó finalmente en apelación, pero acciones similares continúan, especialmente en Francia.
  • Algunos conectan esto con críticas más amplias a los tribunales de la UE, el maximalismo del copyright y la censura gradual a nivel de infraestructura.

Rendimiento, diseño y afirmaciones de privacidad de Quad9

  • Informes mixtos sobre el rendimiento: algunos vieron que el DoH de Mullvad era más rápido; otros encontraron Mullvad lento/inestable y Quad9 (o Cloudflare) mucho más fiable y con menor latencia.
  • Un representante de Quad9 explica:
    • Operan más de ~200 ubicaciones “aisladas”, sin backbone central, y soportan DoT, DoH, HTTP/3, DoQ, además de experimentos con el cifrado de enlaces resolvedor-autoritativo (ADOx).
    • Afirman no almacenar datos de consultas por usuario y dicen que ningún gobierno ha solicitado datos hasta ahora.
    • La escala y la defensa legal (no las funciones de bloqueo de anuncios) son su prioridad; el bloqueo de anuncios se deja a herramientas locales o servicios comerciales.

Confianza, política y vigilancia

  • Algunos usuarios dejaron Mullvad al enterarse de que un cofundador es el principal financiador de un partido sueco con retórica dura antiinmigración / de “reemplazo poblacional”; otros debaten si ese partido es “de extrema derecha”, marxista o sincrético.
  • Varios respetan la respuesta pública de Mullvad por no ser performativa y no expulsar al cofundador, mientras que otros siguen sin querer financiarlo mediante suscripciones.
  • Preocupación general de que los servicios centralizados de “privacidad” sean objetivos primarios para las agencias de inteligencia; desacuerdo sobre cuánto mitigan realmente ese riesgo la jurisdicción no estadounidense, el fuerte no registro y el cifrado.