作者：Erik Kline (Android 软件工程师) & Ben Schwartza (Jigsaw 软件工程师)

绝大多数网络连接的第一步都是 DNS 查询。客户端 (如智能手机) 通常使用由 Wi-Fi 或者移动网络提供的 DNS 服务器。客户端向该 DNS 服务器发起查询，将域名 (如 developer.android.google.cn) 转换成 IP 地址 (如 2607:f8b0:4005:808::2003)。在 IP 地址返回到客户端后，客户端就能连接到目的地址。

在 1980 年代 DNS 协议刚诞生之时，互联网的规模和复杂程度远不及现在。在过去的几年中，互联网工程任务组 (Internet Engineering Task Force) 一直致力于定义新的 DNS 协议，为用户提供最新的安全以及隐私保护。该协议被称为 DNS over TLS 协议 (标准化为 RFC 7858)。

和 HTTPS 一样，DNS over TLS 使用 TLS 协议建立一条通往服务器的安全通道。一旦安全通道建立成功，除了对连接有监控权限的人之外，没有人可以读取或者更改 DNS 查询和响应 (安全通道仅应用于 DNS，因此它无法保护用户免遭其它类别的安全以及隐私侵犯。)

Android P 中的 DNS over TLS 安全协议

Android P 开发者预览版内置对 DNS over TLS 的支持，在 “网络和互联网” 设置中添加了隐私 DNS (Private DNS) 模式。

在默认设置下，若网络的 DNS 服务器提供支持，设备会自动升级至 DNS over TLS 协议。如果用户不愿意使用 DNS over TLS 协议，可自行关闭。

若用户想使用私有 DNS 服务器，那么他们可以输入一个主机名。Android 会通过安全通道向该服务器发送所有 DNS 查询；在无法送达服务器的情况下，则会标记该网络为 “无网络访问”。

* 用于进行测试，您可阅读《由社区维护的可兼容服务器名单》 - https://dnsprivacy.org/wiki/display/DP/DNS+Privacy+Test+Servers

DNS over TLS 模式自动为所有系统上的应用提供安全 DNS查询。不过，若应用未使用系统 API，而是自行运行 DNS 查询，它们必须确保在系统进行安全连接情况下，不发送不安全的 DNS 查询。应用可以调用新的 API —— LinkProperties.isPrivateDnsActive()，来获取该信息。

我们宣布，从 Android P 开发者预览版开始，将会内置对 DNS over TLS 的支持。今后，我们希望 DNS 安全传输能够覆盖所有操作系统，为广大用户的每一次新连接都提供更好的安全隐私保护。

点击屏末 | 阅读原文 | 前往 “Android Developers 官方文档” 查看更多关于 Android 开发的内容

推荐阅读