Anatomija mrežne cenzure: Zašto šifrovani DNS ne može da sakrije vaše podatke o surfovanju

U eri u kojoj su privatnost na internetu i digitalni suverenitet postali primarni ciljevi kako pojedinaca tako i organizacija, svedoci smo masovnog usvajanja naprednih bezbednosnih protokola. Tehnologije poput Protokola za bezbedan prenos hiperteksta (HTTPS), Kriptovane transportne bezbednosti (TLS 1.3) i šifrovanih DNS rešenja kao što su DNS preko HTTPS-a (DoH) ili DNS preko TLS-a (DoT), reklamiraju se kao apsolutni štitovi protiv neovlašćenog nadzora. Korisnici masovno prelaziju na javne DNS provajdere poput Cloudflare (1.1.1.1) ili Quad9, ili implementiraju lokalne sisteme za filtriranje oglasa i praćenja kao što je Pi-hole, verujući da su time uspešno sakrili svoju istoriju pregledanja od radoznalih očiju internet provajdera (ISP) i državnih regulatornih tela.

Međutim, stvarnost mrežne arhitekture je znatno surovija. Kako je praktično demonstrirano kroz napredni mrežni eksperiment, oslanjanje isključivo na šifrovani DNS stvara lažni osećaj bezbednosti. Čak i kada su vaši DNS upiti potpuno kriptovani, vaši metapodaci – konkretno, tačan domen veb-sajta koji pokušavate da posetite – i dalje se emituju širom mreže u čistom, nešifrovanom tekstu (clear text). Krivac za ovu ranjivost je fundamentalni arhitektonski element savremenog interneta: Indikacija imena servera (Server Name Indication – SNI).

Ovaj članak donosi detaljnu tehničku analizu kako funkcioniše cenzura i nadzor saobraćaja na mrežnom nivou, na koji način jednostavni skriptovi mogu presresti i blokirati vaš saobraćaj, i zašto je u 2026. godini jedina prava zaštita potpuna enkapsulacija saobraćaja kroz virtuelne privatne mreže (VPN).

1. Iluzija privatnosti šifrovanog DNS-a

Da bismo razumeli gde nastaje bezbednosni procep, moramo se osvrnuti na korake koje računar preduzima prilikom otvaranja veb-stranice. Tradicionalni DNS (Domain Name System) funkcioniše kao telefonski imenik interneta – on prevodi ljudima razumljive domene (npr. primer.rs) u IP adrese koje ruteri razumeju. Istorijski gledano, DNS upiti su slati u čistom tekstu preko UDP porta 53, što je omogućavalo svakom ruteru na putanji, uključujući i vašeg ISP-a, da sa lakoćom vidi, loguje ili izmeni vaše zahteve.

Pojava DoH (Port 443) i DoT (Port 853) rešila je ovaj specifičan problem. Kada aktivirate šifrovani DNS na svom pretraživaču ili unutar lokalnog Pi-hole uređaja, komunikacija između vašeg klijenta i DNS rezolvera je kriptovana. Vaš ISP više ne može da presretne DNS paket i iz njega pročita koji sajt tražite.

Nažalost, prevođenje domena u IP adresu je samo prvi korak. Kada vaš računar sazna IP adresu odredišnog servera, on mora da uspostavi direktnu vezu sa njim. U tom trenutku, uprkos bezbednom DNS-u, na scenu stupa TLS protokol i njegova najveća Ahilova peta – SNI.

2. Duboka analiza: Kako SNI curenje kompromituje TLS 1.3

Kada se povezujete na veb-sajt koji koristi HTTPS, vaš pretraživač i udaljeni server moraju da izvrše proces “rukovanja” (TLS handshake) kako bi ugovorili ključeve za enkripciju. Tokom ovog inicijalnog koraka, klijent šalje paket poznat kao Client Hello.

Problem leži u tome što moderni veb-serveri (poput NGINX-a ili Apache-a) najčešće hostuju stotine ili hiljade različitih sajtova na jednoj jedinoj IP adresi (tzv. virtuelni hosting). Da bi server znao koji tačno digitalni sertifikat treba da pokaže vašem pretraživaču kako bi bezbedno započeo šifrovanu sesiju, vaš pretraživač mora eksplicitno da navede ime domena u tom prvom, inicijalnom paketu.

To polje unutar Client Hello paketa naziva se Server Name Indication (SNI).

Budući da se ovaj korak dešava pre nego što su kriptografski ključevi uopšte razmenjeni i uspostavljeni, SNI polje se šalje u čistom tekstu. Bez obzira na to što koristite najnoviji TLS 1.3 standard i što će sav kasniji sadržaj stranice (tekst, slike, lozinke) biti apsolutno nečitljiv za treća lica, samo ime domena koji posećujete je ogoljeno i vidljivo svakom mrežnom čvoru kroz koji paket prolazi.

3. Praktična demonstracija: Man-in-the-Middle napad pomoću Raspberry Pi-ja

Da bi se dokazalo koliko je ova ranjivost kritična i laka za eksploataciju od strane internet provajdera ili zlonamernih aktera, kreirana je praktična laboratorijska simulacija. Koristeći pristupačan hardver i minimalno programersko znanje, demonstrirano je kako se vrši potpuno presretanje i selektivna cenzura saobraćaja.

Hardverska i softverska konfiguracija laboratorije

Za izvođenje ovog eksperimenta korišćena je sledeća topologija:

Hardverski ruter/napadač: Raspberry Pi, konfigurisan kao mrežni prolaz (Gateway) i postavljen u Man-in-the-Middle (MitM) poziciju.

Mrežni softver: Operativni sistem Linux sa podešenim rutiranjem paketa (iptables i ip_forward omogućeni).

Klijentski uređaj: Računar na mrežnom segmentu koji je konfiguran da koristi isključivo šifrovani DNS (DoH/DoT) i Pi-hole za filtriranje.

Alat za cenzuru: Prilagođeni Python skript pod nazivom sniblocker.py.

Kako funkcioniše sniblocker.py?

Skript se oslanja na biblioteke za sirovu analizu mrežnih paketa (engl. packet sniffing). Umesto da pokušava da dešifruje kompleksnu TLS enkripciju – što je računski nemoguće bez privatnih ključeva – skript se fokusira isključivo na pasivno posmatranje inicijalnih faza konekcije.

Proces teče kroz sledeće faze:

Presretanje saobraćaja: Svi paketi koji prolaze kroz ruter na portovima namenjenim za HTTPS (prvenstveno TCP port 443) analiziraju se u realnom vremenu.

Identifikacija TLS rukovanja: Skript filtrira mrežni saobraćaj tražeći specifične bajtove koji označavaju početak TLS Client Hello paketa.

Ekstrakcija SNI podataka: Kada pronađe paket, algoritam preskače fiksna polja i direktno čita nešifrovani niz karaktera koji predstavlja ime hosta (domen).

Evaluacija i akcija: Ime izvučenog domena upoređuje se sa crnom listom (npr. listom velikih informativnih portala ili društvenih mreža). Ako postoji podudaranje, skript momentalno interveniše.

Mehanizam aktivne cenzure

Najfascinantniji i ujedno najalarmantniji deo ove demonstracije jeste lakoća kojom se veza može prekinuti. Kada sniblocker.py prepozna zabranjeni domen u SNI polju, on ne mora da blokira celu IP adresu. Umesto toga, ruter injektuje lažni TCP RST (Reset) paket nazad ka klijentu i ka serveru. Za klijentski računar, ovo izgleda kao iznenadni, legitimni prekid veze sa mreže. Korisnik na svom ekranu vidi standardnu poruku o grešci pretraživača (“Connection Reset”), dok sajt ostaje potpuno nedostupan.

Ovaj eksperiment jasno dokazuje: iako je Pi-hole ponosno pokazivao da nema neovlašćenih DNS upita, a pretraživač striktno koristio Cloudflare DoH, veza je uspešno detektovana i cenzurisana na osnovu čistog SNI teksta.

4. Širi kontekst: Kako ISP-ovi i države koriste ovu tehnologiju

Ono što je u ovoj demonstraciji izvedeno u malom obimu na Raspberry Pi uređaju, internet provajderi i autoritarni režimi širom sveta rade na masovnom nivou koristeći namensku opremu visokih performansi. Ova tehnologija poznata je kao Deep Packet Inspection (DPI) – duboka analiza paketa.

DPI sistemi analiziraju teret (payload) mrežnih paketa u pokretu, pri brzinama od više gigabita ili terabita po sekundi. Kada državni organi izdaju nalog za blokiranje određenog medijskog sajta ili platforme, ISP-ovi ne moraju da blokiraju kompletne IP adrese (što bi moglo da izazove kolateralnu štetu i obori druge legitimne sajtove na istoj infrastrukturi). Oni jednostavno programiraju svoje DPI sisteme da ciljaju specifične SNI stringove.

Pored same cenzure, SNI propust se masovno koristi za:

Profilisanje korisnika i kreiranje metapodatkovnih dnevnika: Iako provajder ne zna šta tačno čitate na nekom sajtu, sama činjenica da konstantno posećujete sajtove za zapošljavanje, specifične medicinske forume ili političke portale omogućava kreiranje zastrašujuće preciznog profila vaše ličnosti.

Komercijalnu monetizaciju podataka: U mnogim pravnim sistemima, ISP-ovi imaju zakonsko pravo da anonimizovane podatke o navikama surfovanja svojih korisnika prodaju oglašivačkim kompanijama. SNI curenje im pruža sve neophodne sirovine za taj biznis.

5. Tehnološki pokušaji rešenja: Gde je zapeo ESNI / ECH?

Inženjerska radna grupa za internet (IETF) odavno je prepoznala ovaj bezbednosni nedostatak i godinama pokušava da implementira rešenje. Prvi pokušaj bio je ESNI (Encrypted SNI), koji je kasnije evoluirao u znatno robusniji protokol poznat kao ECH (Encrypted Client Hello).

Ideja iza ECH-a je elegantna: umesto da se šifruje samo polje sa imenom domena, šifruje se kompletan Client Hello paket. Da bi se to postiglo, javni ključ udaljenog servera se distribuira unapred, i to upravo putem DNS zapisa.

Međutim, u 2026. godini globalna implementacija ECH-a i dalje nailazi na ogromne prepreke:

Infrastrukturna tromost: Da bi ECH funkcionisao, moraju ga podržati i klijentski pretraživači i veb-serveri, kao i autoritativni DNS serveri sa specifičnim mrežnim zapisima (HTTPS/SVCB). Veliki provajderi infrastrukture (poput Cloudflare-a) podržavaju ECH, ali milioni nezavisnih sajtova širom sveta i dalje nemaju ovu tehnologiju.

Aktivna opstrukcija od strane regulatora: Budući da ECH potpuno “zaslepljuje” sisteme za državni nadzor, pojedine zemlje i njihovi nacionalni telekomunikacioni sistemi aktivno blokiraju sav mrežni saobraćaj koji pokušava da koristi ECH rukovanje. Korisnici su u tim situacijama prinuđeni da isključe ovu opciju kako bi uopšte imali pristup internetu.

Iz tih razloga, oslanjanje na to da će se SNI sam od sebe sakriti kroz tekuće mrežne protokole u ovom trenutku nije realno niti bezbedno rešenje za prosečnog korisnika.

6. Konačno rešenje: Potpuna enkapsulacija kroz VPN

Kada se uzmu u obzir svi tehnički parametri mrežnih protokola, dolazimo do jedinstvenog zaključka: jedini stopostotno pouzdan način da sprečite curenje SNI podataka i zaštitite svoju privatnost jeste rutiranje celokupnog mrežnog saobraćaja kroz kvalitetan i bezbedan VPN tunel.

Kako VPN neutrališe SNI curenje?

Za razliku od šifrovanog DNS-a koji štiti samo jednu fazu komunikacije, VPN (Virtual Private Network) deluje na znatno nižem nivou mrežnog steka. On kreira kriptovani tunel između vašeg uređaja i VPN servera.

Kada je VPN aktivan, proces se dramatično menja:

Vaš pretraživač generiše Client Hello paket sa nešifrovanim SNI poljem (npr. targetira se zabranjeni sajt).

Pre nego što taj paket uopšte napusti vaš računar i stigne do lokalne mreže ili vašeg ISP-a, kompletan paket se ubacuje unutar drugog paketa i šifruje najsavremenijim kriptografskim algoritmima (kao što su ChaCha20 ili AES-256) u okviru VPN protokola (poput WireGuard-a ili OpenVPN-a).

Vaš internet provajder (ili napadač sa Raspberry Pi uređajem iz našeg eksperimenta) vidi samo tok nečitljivih, kriptovanih podataka koji putuju sa vašeg uređaja ka IP adresi VPN servera.

U ovom scenariju, polje SNI i dalje tehnički postoji, ali je ono sakriveno duboko unutar neprobojnog VPN oklopa. Za vašeg provajdera, vi ne posećujete medijske kuće, forume ili specifične portale – za njih vi isključivo održavate jednu neprekidnu vezu sa jednim jedinim VPN serverom. Tek kada paket stigne na odredišni VPN server, on se dešifruje i bezbedno šalje dalje na krajnje odredište, efikasno maskirajući vašu lokaciju i identitet.

Zaključak

Tehnički eksperiment sa Raspberry Pi-jem i skriptom sniblocker.py predstavlja oštre otrežnjenje za sve entuzijaste koji veruju da su upotrebom DoH-a, DoT-a ili Pi-hole uređaja rešili problem digitalne privatnosti. Ove tehnologije su izuzetno korisne za sprečavanje bazičnih napada (poput DNS otmice ili ubacivanja zlonamernih reklama), ali su potpuno nemoćne pred dubokom analizom paketa i prepoznavanjem SNI metapodataka.

U savremenom digitalnom pejzažu, gde se granice između nadzora, bezbednosti i cenzure konstantno pomeraju, polovične mere zaštite mogu biti opasnije od nikakvih, jer stvaraju iluziju bezbednosti. Ukoliko vam je cilj stvarna privatnost, zaštita od profilisanja i zaobilazak mrežnih restrikcija, implementacija robusnog VPN rešenja sa modernim protokolima poput WireGuard-a ostaje jedini imperativ i zlatni standard mrežne odbrane.