Pemblokiran DNS: Metode Sensor Termurah dan Mengapa Mudah Dilewati

Bayangkan Anda mencoba mengunjungi sebuah situs web. Alih-alih terhubung langsung, komputer Anda terlebih dahulu bertanya kepada "buku telepon internet" untuk menemukan alamat sebenarnya dari situs tersebut. Ini disebut DNS resolver. Di sebagian besar negara, ISP Anda menyediakan resolver DNS ini secara otomatis. Tapi bagaimana jika buku telepon itu sengaja memberikan jawaban yang salah untuk situs-situs tertentu? Itulah cara pemblokiran DNS bekerja — dan mengapa begitu populer bagi mereka yang ingin membatasi akses internet.

Apa itu DNS dan bagaimana itu menjadi target sensor

Untuk memahami pemblokiran DNS, kita perlu memahami apa yang dilakukan DNS terlebih dahulu. Ketika Anda mengetik nama domain — misalnya save-clip.com — komputer Anda tidak langsung tahu di mana server itu berada di internet. Sebaliknya, komputer Anda mengirim pertanyaan ke DNS resolver: "Hei, di mana save-clip.com berada?" Resolver menjawab dengan nomor IP, semacam alamat rumah digital yang menunjukkan ke mana traffic Anda harus dikirim.

Resolver DNS biasanya disediakan oleh ISP Anda. Mereka menjalankan server yang menjawab ribuan pertanyaan ini setiap hari. Konfigurasi ini membuat titik kontrol sempurna untuk sensor: alih-alih memblokir koneksi itu sendiri (yang memerlukan teknologi yang lebih kompleks), cukup buat resolver DNS mengembalikan jawaban palsu atau tidak ada sama sekali. Ketika resolver mengatakan "Saya tidak tahu di mana situs itu berada" atau memberikan alamat IP yang salah, browser Anda tidak bisa terhubung. Pengunjung tidak pernah menyadari situs tersebut sedang diblokir — mereka hanya melihat pesan "tidak dapat terhubung".

Mengapa sensor memilih metode ini: efisiensi biaya

Pemblokiran DNS menjadi metode favorit karena tiga alasan praktis: biaya rendah, mudah dikonfigurasi, dan mudah diperbarui.

Dari perspektif infrastruktur, DNS blocking hampir gratis. Alih-alih membangun sistem yang memeriksa setiap paket data yang melewati jaringan nasional (yang memerlukan server mahal dan expertise tinggi), penyensor cukup memperbarui daftar domain yang diblokir di resolver DNS mereka. Ini adalah pekerjaan administrasi jaringan standar — tugas yang sudah dilakukan oleh ribuan operator ISP setiap hari untuk keperluan lain.

Konfigurasinya mudah: satu baris perintah dapat menambahkan domain baru ke daftar blokir. Ketika pemerintah ingin memblokir situs berita baru atau media sosial, mereka hanya perlu mengirim email ke ISP yang menjalankan resolver DNS publik. Tidak ada downtime. Tidak ada peralatan baru yang perlu dibeli. Tidak ada kampanye PR yang rumit. Pengaturan ulang dapat dilakukan dalam hitungan menit.

Bandingkan ini dengan metode sensor lainnya. Blocking berbasis IP (menutup alamat IP di mana situs berada) memerlukan monitoring terus-menerus karena situs dapat berpindah ke server baru. Blocking berbasis deep packet inspection (memeriksa isi setiap paket data) memerlukan investasi besar dalam peralatan dan pelatihan. DNS blocking menang dalam hal kesederhanaan biaya-manfaat.

Kelemahan kritis: switching resolver sangat mudah

Tetapi ada masalah serius dengan rencana ini: pengguna tidak harus menggunakan resolver DNS yang disediakan ISP mereka.

Ingat, resolver DNS adalah layanan jaringan standar. Anda dapat menunjuk komputer Anda ke resolver DNS mana pun di dunia. Google menyediakan resolver publik yang terkenal (8.8.8.8 dan 8.8.4.4). Cloudflare menyediakan 1.1.1.1. OpenDNS adalah pilihan lain. Ketika seorang pengguna mengubah pengaturan DNS mereka menunjuk ke salah satu resolver ini, alih-alih resolver ISP mereka, pemblokiran DNS menjadi benar-benar tidak berguna. Resolver eksternal tidak memiliki daftar blokir pemerintah lokal — mereka hanya menjawab pertanyaan DNS dengan jujur.

Untuk pengguna pemula, ini memerlukan sedikit pengetahuan teknis: Anda mengubah beberapa angka di pengaturan jaringan Anda, atau mengubah file konfigurasi. Tetapi prosesnya lurus ke depan dan terdokumentasi dengan baik di seluruh internet. Setiap orang dengan smartphone dapat melakukannya dalam dua menit.

Bagaimana sensor merespons: DNS over HTTPS dan pertempuran baru

Sensor yang canggih tidak berhenti di sini. Beberapa negara mulai memblokir resolver DNS eksternal itu sendiri — mencegah traffic yang mencoba menghubungi 8.8.8.8 atau 1.1.1.1. Ini adalah eskalasi nyata: alih-alih hanya memblokir jawaban salah, mereka memblokir kemampuan untuk bertanya kepada siapa pun kecuali pemerintah mereka sendiri.

Sementara itu, teknologi seperti DNS over HTTPS (DoH) dan DNS over TLS (DoT) membuat pertanyaan DNS terenkripsi, sehingga bahkan ISP tidak dapat melihat apa yang Anda minta. Ini mempersulit sensor untuk memblokir pada tingkat DNS tanpa mengganggu traffic internet normal.

Garis besar: keseimbangan antara kendali dan implementasi

Pemblokiran DNS adalah bukti dari prinsip ekonomi mendasar dalam infosec: kontrol yang paling murah dan paling mudah untuk diimplementasikan yang mencapai tujuan akan dipilih terlebih dahulu. Untuk banyak regulator, itu berarti DNS blocking.

Namun kelemahan teknisnya sama kuatnya dengan daya tariknya. Ini bukan bentuk sensor yang ketat. Ini adalah hambatan rendah yang meningkatkan penghalang untuk pengguna biasa tetapi runtuh di bawah pengetahuan teknis sedang. Memahami bagaimana DNS bekerja memberikan Anda alasan yang solid tentang mengapa metode ini begitu luas — dan juga mengapa tidak akan pernah menjadi solusi final untuk sensor.

Langkah berikutnya: pelajari tentang deep packet inspection, filtering berbasis IP, dan bagaimana enkripsi mengubah lanskap sensor internet secara keseluruhan.