برسوں سے، ڈومین نیم سسٹم (DNS) حل کرنے والوں کو تبدیل کرنے کے لیے عمومی مشورہ یہ رہا ہے کہ قدرے تیز اور زیادہ قابل اعتماد تلاش حاصل کرنے کے لیے Cloudflare کے 1.1.1.1 یا Google کے 8.8.8.8 پر جائیں۔ ایک حالیہ موازنہ سے پتہ چلتا ہے کہ Google DNS اور Cloudflare DNS کے درمیان سب سے بڑا فرق خام رفتار نہیں ہے، لیکن رفتار عام طور پر سب سے آسان وجہ ہے۔
2026 تک، DNS ویب کے رازداری کے پہلو کے بہت قریب ہو جائے گا۔ جدید ٹیکنالوجیز HTTPS کے ذریعے سامنے آنے والی معلومات کو چھپا سکتی ہیں، لیکن یہ تحفظ اس وقت بہترین کام کرتا ہے جب DNS تلاش بھی محفوظ ہو۔ آپ کی DNS ترتیبات اب اس بات پر اثر انداز ہوتی ہیں کہ آپ جو ڈومین تلاش کرتے ہیں ان کو کون دیکھ سکتا ہے، کون سے خفیہ کردہ DNS اختیارات دستیاب ہیں، کیا فلٹر کیا جاتا ہے، اور آپ کو خفیہ کردہ کلائنٹ ہیلو جیسی جدید رازداری کی خصوصیات سے کیسے فائدہ ہوتا ہے۔
HTTPS آخر کار اپنی قدیم ترین لیکس میں سے ایک کو چھپا رہا ہے۔
ECH ان مسائل کو حل کرتا ہے جنہیں HTTPS مکمل طور پر حل نہیں کرتا ہے۔
HTTPS برسوں سے ویب ٹریفک کے مواد کی حفاظت کر رہا ہے، لیکن تاریخ نے ایک واضح انتباہ چھوڑا ہے: جب کوئی براؤزر محفوظ کنکشن شروع کرتا ہے، تو TLS ClientHello کے اندر سرور نام کا اشارہ (SNI) ہوسٹ کا نام ظاہر کر سکتا ہے جس سے وہ جڑنے کی کوشش کر رہا ہے۔
اس کے بارے میں سوچو جیسے ایک مقفل خط بھیجنا جس میں منزل واضح طور پر باہر لکھی ہوئی ہے۔ اگرچہ آپ کا ISP نہیں پڑھ سکتا کہ اندر کیا ہے، لیکن وہ اکثر بتا سکتے ہیں کہ آپ کس سائٹ سے منسلک ہیں۔
یہ وہی ہے جو انکرپٹڈ کلائنٹ ہیلو (ای سی ایچ) کو ٹھیک کرنے کے لیے ڈیزائن کیا گیا ہے۔ ECH، مارچ 2026 میں RFC 9849 میں معیاری، TLS ClientHello کے حساس حصوں کو انکرپٹ کرتا ہے، بشمول اصل سرور کا نام۔ اینڈرائیڈ 17 بڑے موبائل آپریٹنگ سسٹمز میں وسیع ECH سپورٹ لا کر اسے مزید آگے لے جاتا ہے، اور ECH پہلے سے ہی زیادہ تر ڈیسک ٹاپ براؤزرز میں دستیاب ہے۔ اصل استعمال اب بھی آپ کی ایپ کی نیٹ ورکنگ لائبریریوں اور ان کو سپورٹ کرنے والے ٹارگٹ سرورز پر منحصر ہوگا، لیکن سمت واضح ہے۔ تجرباتی براؤزر کی خصوصیت کے بجائے میزبان نام چھپانا ویب اسٹیک کا ایک عام حصہ بنتا جا رہا ہے۔
DNS اس عمل سے قریب سے جڑا ہوا ہے۔ ECH کو سپورٹ کرنے والی سائٹیں HTTPS DNS ریکارڈز کے ذریعے کلائنٹس کو ضروری معلومات شائع کرتی ہیں۔ اس میں ایک ECH کنفیگریشن شامل ہو سکتی ہے جس میں عوامی کلید اور انکرپٹڈ ہینڈ شیک کے لیے درکار دیگر پیرامیٹرز شامل ہوں۔
تخمینی ترتیب حسب ذیل ہے:
Your device → asks DNS for an HTTPS record → receives the ECH configuration → connects to the website using ECH
ECH کو "سمجھنے” کے لیے آپ کو کسی خاص DNS حل کنندہ کی ضرورت نہیں ہے۔ زیادہ اہم مسئلہ یہ ہے کہ آیا DNS تلاش خود ہی بے نقاب ہے۔
اگر آپ کا آلہ سادہ سادہ متن DNS کا استعمال کرتے ہوئے example.com کی درخواست کرتا ہے، تو ہو سکتا ہے کہ آپ کے ISP نے پہلے ہی اس میزبان نام کو HTTPS کنکشن کے دوران ECH چھپانے سے پہلے ہی حل کر دیا ہو۔ ایک لیک کو طے کیا گیا ہے، لیکن وہی معلومات کچھ دیر پہلے لیک ہوئی تھیں۔
یہی وجہ ہے کہ انکرپٹڈ DNS اور ECH ایک ساتھ مل کر کام کرتے ہیں۔ ECH TLS ہینڈ شیک کے دوران ویب سائٹ کے ناموں کو چھپاتا ہے، اور انکرپٹڈ DNS پہلے سے سامنے آنے والی تلاشوں کو چھپاتا ہے۔
DNS خفیہ کاری ایک عام انٹرنیٹ پلمبنگ خصوصیت بنتی جا رہی ہے۔
DoT، DoH، اور DoQ سبھی ایک ہی بنیادی لیک کو مختلف طریقے سے ایڈریس کرتے ہیں۔
روایتی DNS غیر خفیہ کردہ سادہ متن میں سوالات بھیجتا ہے۔ آپ کا آلہ حل کنندہ سے ڈومین نام کے پیچھے آئی پی ایڈریس کے بارے میں پوچھتا ہے، اور کوئی بھی اس پوزیشن میں ہے کہ ٹریفک دیکھ سکتا ہے کہ آپ کیا درخواست کر رہے ہیں۔
برسوں کے دوران، کئی خفیہ کردہ متبادل سامنے آئے ہیں۔ DNS-over-TLS (DoT) DNS سوالات کو TLS کنکشن میں لپیٹتا ہے اور عام طور پر پورٹ 853 کا استعمال کرتا ہے۔ DNS-over-HTTPS (DoH) پورٹ 443 پر HTTPS پر سوالات بھیجتا ہے، جس سے DNS ٹریفک کو باقاعدہ ویب ٹریفک کے ساتھ سفر کرنے کی اجازت ملتی ہے۔ جدید DoH مکمل طور پر TCP پر انحصار کرنے کے بجائے HTTP/3 اور QUIC (کوئیک UDP انٹرنیٹ کنیکشن) پر بھی چل سکتا ہے۔
DNS-over-QUIC (DoQ) ایک جدید انکرپٹڈ DNS آپشن ہے جو براہ راست QUIC پر مرموز DNS فراہم کر کے DoH اور DoT سے آگے جاتا ہے۔ QUIC آزاد سلسلہ کی حمایت کرتا ہے، لہذا ایک DNS درخواست کو متاثر کرنے والے پیکٹ کے نقصان سے غیر متعلقہ درخواستوں میں تاخیر نہیں ہوتی ہے۔ ناقابل بھروسہ یا بھیڑ والے نیٹ ورکس میں، DoQ روایتی TCP پر مبنی طریقوں سے بہتر کارکردگی کا مظاہرہ کر سکتا ہے۔
آپ کو پلمبنگ کو یاد کرنے کی ضرورت نہیں ہے۔ زیادہ تر لوگوں کے لیے مفید حصہ یہ ہے کہ DoH، DoT، اور DoQ سبھی DNS ٹریفک کو ڈیوائس اور حل کرنے والے کے درمیان انکرپٹ کرتے ہیں۔
DoQ تجرباتی مرحلے سے بھی آگے ہے۔ عوامی DNS فراہم کرنے والے اب انہیں پروڈکشن نیٹ ورکس پر چلاتے ہیں۔ تاہم، آپ اسے استعمال کر سکتے ہیں یا نہیں اس کا انحصار آپ کے آپریٹنگ سسٹم، روٹر، براؤزر، یا DNS ایپ کے تعاون پر ہے۔
ایک چیز جو یاد کرنا آسان ہے وہ یہ ہے کہ DNS فراہم کنندگان کو تبدیل کرنے سے خود بخود کچھ بھی خفیہ نہیں ہوتا ہے۔ آپ ڈیوائس کو 1.1.1.1 کی طرف اشارہ کر سکتے ہیں اور باقاعدہ سادہ متن DNS سوالات بھیجنا جاری رکھ سکتے ہیں۔ حل کرنے والے کو تبدیل کرنے سے صرف وہی تبدیل ہوتا ہے جو جواب دیتا ہے اور اسے خود ٹریفک کی حفاظت کے لیے DoH، DoT یا DoQ جیسی خفیہ نقل و حمل کی ضرورت ہوتی ہے۔
اسے نظر انداز کرنا خاص طور پر آسان ہے کیونکہ براؤزر اور آپریٹنگ سسٹم تکنیکی تفصیلات کو "محفوظ DNS” اور "نجی DNS” جیسے ناموں کے پیچھے دفن کر دیتے ہیں۔ یہ ترتیبات اکثر وہ حصہ ہوتی ہیں جو دراصل اس بات کا تعین کرتی ہیں کہ آیا آپ کا DNS ٹریفک انکرپٹڈ ہے یا نہیں، اور HTTPS پر DNS ISPs کو انفرادی ڈومین تلاش کو حل کرنے سے روک سکتا ہے بجائے اس کے کہ وہ کس حل کنندہ کا جواب دیتے ہیں۔
حل کرنے والے اب ہماری رازداری کی پالیسی کا حصہ ہیں۔
بھروسے کو مکمل طور پر ہٹانے کے بجائے، انکرپشن تبدیل ہو جاتی ہے کہ آپ کس پر بھروسہ کرتے ہیں۔
خفیہ کردہ DNS آپ اور حل کرنے والے کے درمیان لوگوں کو غلطی سے آپ کے DNS سوالات کو پڑھنے سے روکتا ہے۔ حل کرنے والا خود تصویر سے باہر نہیں ہے۔ حل کرنے والے مسلسل ان ڈومینز کی جانچ پڑتال کرتے ہیں جنہیں صارفین تلاش کرنے کی درخواست کرتے ہیں، اس لیے کسی ایک کو منتخب کرنا کچھ حد تک رازداری اور پالیسی کے فیصلوں پر منحصر ہوتا ہے۔
مختلف فراہم کنندگان کے پاس لاگنگ، برقرار رکھنے، مالویئر بلاک کرنے، مواد کی فلٹرنگ، DNSSEC، اور دائرہ اختیار کے لیے مختلف اصول ہیں۔ Quad9، مثال کے طور پر، سوئٹزرلینڈ سے باہر کام کرتا ہے اور رازداری پر توجہ مرکوز کرتا ہے اور بدنیتی پر مبنی ڈومینز کو مسدود کرتا ہے۔ کچھ مفت DNS فراہم کنندگان کچھ کاموں میں Google اور Cloudflare سے بہتر کارکردگی کا مظاہرہ کرتے ہیں، آپ کی ترجیحات، جیسے فلٹرنگ، سیکیورٹی اور رازداری پر منحصر ہے۔
مقبول سروس فراہم کنندگان میں سے کسی ایک کو منتخب کرنے کا لازمی طور پر یہ مطلب نہیں ہے کہ قواعد کا ایک سیٹ لاگو ہوتا ہے۔ بڑی سروسز اکثر مالویئر بلاک کرنے اور دیگر فلٹرنگ کے لیے متبادل DNS طریقوں کو ظاہر کرتی ہیں، لہذا حل کرنے والے ایڈریس کو تبدیل کرنے سے فراہم کنندگان کو مکمل طور پر تبدیل کیے بغیر بلاک کیا گیا ہے اسے تبدیل کر سکتا ہے۔
آپ کا ISP کچھ ایسی ہی خصوصیات پیش کر سکتا ہے، لیکن ایک مختلف حل کرنے والا آپ کو اپنے قوانین اور رازداری کی پالیسیاں منتخب کرنے دیتا ہے۔ کوئی ایک DNS فراہم کنندہ نہیں ہے جو سب کے لیے بہترین ہو۔ یاد رکھنے کے لیے ایک مفید چیز یہ ہے کہ یہاں تک کہ اگر آپ کا ISP کا ڈیفالٹ حل کنندہ آپ کو منتخب نہیں کرتا ہے، تب بھی آپ اسے منتخب کر سکتے ہیں۔
DNS سوئچ اب بھی VPN نہیں ہے۔
اپنی DNS سیٹنگز کو تبدیل کرنے سے آپ کی پرائیویسی بہتر ہو سکتی ہے، لیکن یہ آپ کو آن لائن پوشیدہ نہیں بنائے گا۔
انکرپٹڈ DNS آپ کے آلے اور آپ کے DNS فراہم کنندہ کے درمیان کنکشن کو دیکھنے والے لوگوں کو صرف آپ کے ڈومین ناموں کو پڑھنے سے روکتا ہے۔ ECH ویب سائٹ کا نام بھی چھپا سکتا ہے جو ابتدائی HTTPS کنکشن کے دوران ظاہر ہوا تھا۔ ایک ساتھ، وہ دو ونڈوز کو بند کرتے ہیں جو نیویگیشن کے لیے مفید ہیں۔
تاہم، آپ کا ISP اب بھی وہ IP ایڈریس دیکھ سکتا ہے جس سے آپ کا آلہ منسلک ہے، اور آپ جن ویب سائٹس کو دیکھتے ہیں وہ بھی آپ کا IP پتہ دیکھیں گی۔ کچھ معاملات میں، وہ IP ایڈریس اور دیگر اشارے ظاہر کر سکتے ہیں، یا کم از کم تنگ کر سکتے ہیں، جہاں آپ کا ٹریفک جا رہا ہے۔ لہذا جب کہ انکرپٹڈ DNS اور ECH ٹریکنگ کو مزید مشکل بنا دیتے ہیں، وہ VPN کی طرح رازداری کا تحفظ فراہم نہیں کرتے ہیں۔
یہ بھی اہم ہے کہ آپ انکرپٹڈ DNS کو کہاں آن کرتے ہیں۔ مثال کے طور پر، اگر آپ صرف Chrome میں "Secure DNS” کو فعال کرتے ہیں، تو Chrome محفوظ رہے گا جب کہ دیگر ایپس ڈیوائس کی باقاعدہ DNS ترتیبات کا استعمال جاری رکھ سکتی ہیں۔ Android کا نجی DNS زیادہ وسیع پیمانے پر کام کرتا ہے کیونکہ اسے آپریٹنگ سسٹم کی سطح پر نافذ کیا جاتا ہے، لیکن وہ ایپس جو خود DNS کو ہینڈل کرتی ہیں اب بھی مختلف طریقے سے برتاؤ کر سکتی ہیں۔
لہذا صرف اپنے ISP کے DNS ایڈریس کو تبدیل نہ کریں اور فرض کریں کہ آپ نے کام کر لیا ہے۔ ایک قابل اعتماد DNS فراہم کنندہ کا انتخاب کریں، پھر یقینی بنائیں کہ آپ اصل میں ایک انکرپٹڈ آپشن استعمال کر رہے ہیں نہ کہ سادہ سادہ متن DNS۔