O Que é DNS? (Explicação Simples)

DNS (Domain Name System) é como a lista telefónica da Internet. Quando o seu dispositivo quer contactar "api.exemplo.com", precisa primeiro descobrir o endereço IP (numérico) desse servidor. Faz uma "consulta DNS" para obter essa informação.

Cada vez que o seu smartphone, smartwatch, ou óculos inteligentes contacta um servidor na Internet, deixa um rasto DNS. Monitorizando estas consultas, podemos ver com quem o dispositivo está a "falar" — mesmo antes de analisarmos o quê estão a discutir.

Porque DNS Monitoring é Poderoso

Imagine que o seu smartwatch é uma pessoa numa sala cheia de telefones. Cada vez que pega num telefone e marca um número, alguém regista isso — mesmo que não consiga ouvir a conversa.

DNS monitoring revela:

  • Quem contacta: O dispositivo liga para o fabricante? Para serviços de analytics? Para servidores chineses?
  • Quando contacta: Só durante uso ativo? Ou constantemente em segundo plano?
  • Quantas vezes: Um único ping de heartbeat? Ou dezenas de conexões por hora?

Crucialmente, DNS não é encriptado por padrão — podemos ver tudo claramente, ao contrário do conteúdo HTTPS que é cifrado.

Como Ler um Log DNS

Um log DNS típico parece isto (simplificado):

10:34:12  glasses.local  →  api.fabricante.com
10:34:15  glasses.local  →  cdn.cloudflare.com
10:34:18  glasses.local  →  track.mixpanel.com
10:34:21  glasses.local  →  log.umeng.com

Cada linha mostra: [tempo] [dispositivo] → [domínio contactado]

Neste exemplo, vemos 4 conexões em 9 segundos. As primeiras duas são normais (API do fabricante, CDN para downloads). As últimas duas levantam questões: Mixpanel (analytics comportamental) e Umeng (serviço Alibaba de telemetria).

Padrões Normais vs Suspeitos

Padrão Normal (Benigno):

  • Domínios do fabricante (exemplo.com, api.exemplo.com)
  • CDNs conhecidos (Cloudflare, Akamai, Amazon CloudFront)
  • Servidores de tempo (time.windows.com, time.apple.com)
  • Certificados SSL (ocsp.apple.com para validação)

Padrão Suspeito (Investigar):

  • Analytics: track.mixpanel.com, api.amplitude.com, firebase.google.com
  • Tracking: pixel.facebook.com, google-analytics.com, segment.io
  • Servidores Chineses: *.aliyuncs.com (Alibaba), *.qq.com (Tencent), *.baidu.com
  • Domínios .cn (China), .ru (Rússia) não mencionados na política
  • Serviços de crash reporting: sentry.io, bugly.qq.com

Padrão Preocupante (Bandeira Vermelha):

  • Mais de 3 serviços de analytics em paralelo
  • Consultas constantes em modo inativo (>10/hora sem uso)
  • Domínios completamente desconhecidos hospedados em datacenters obscuros
  • Serviços não mencionados em lado nenhum da documentação

Caso Real: HeyCyan vs AI Glasses 8MP

Comparemos dois dispositivos que auditamos:

HeyCyan AI Glasses (Passou):

Domínios contactados: 12
  - heycyan.com (fabricante) ✓
  - aws.amazon.com (cloud storage) ✓
  - cloudflare.com (CDN) ✓
  - translate-api.cn (tradução) ⚠️
  - track.mixpanel.com (analytics) ⚠️

Veredicto: Maioria benigna. Duas preocupações menores (servidor chinês + analytics não divulgado), mas volume baixo.

AI Glasses 8MP (Falhou):

Domínios contactados: 23
  - fabricante.com ✓
  - api.tuya.com (IoT chinês) ❌
  - log.umeng.com (Alibaba analytics) ❌
  - bugly.qq.com (Tencent crash) ❌
  - *.aliyuncs.com (Alibaba Cloud, 4 subdomínios) ❌
  - track.mixpanel.com ❌
  - api.amplitude.com ❌
  - firebase.google.com ❌

Veredicto: Infraestrutura fortemente dependente de serviços chineses. Três sistemas de analytics em paralelo. Comportamento inaceitável para privacidade.

Como AINode Faz DNS Monitoring

O nosso processo:

  1. Rede Isolada: Criamos um Wi-Fi isolado no nosso Mac (Internet Sharing). O dispositivo conecta-se apenas a esta rede.
  2. Captura na Porta 53: Usamos `tcpdump` para capturar todo o tráfego DNS (porta 53). Isto regista cada consulta DNS que o dispositivo faz.
  3. Análise Automática: Script Python processa o log, extrai domínios únicos, e classifica cada um usando nossa base de dados de referência.
  4. Investigação Manual: Domínios desconhecidos são pesquisados manualmente (WHOIS, histórico do domínio, proprietário).
  5. Relatório: Criamos tabela categorizando cada domínio como Benigno, Desconhecido, ou Suspeito.

Limitações do DNS Monitoring

DNS monitoring é poderoso, mas não perfeito. Não revela:

  • Conteúdo: Sabemos que o dispositivo contactou "api.exemplo.com", mas não o quê enviou.
  • IPs Hardcoded: Se o dispositivo usar endereços IP diretos (sem DNS), não detetamos.
  • DNS sobre HTTPS (DoH): Alguns dispositivos encriptam consultas DNS. Raro em IoT, mas possível.
  • Intenção: Um domínio pode ser contactado por razões legítimas ou maliciosas — precisamos de contexto.

Por isto complementamos DNS monitoring com análise de volume de tráfego (Passo 2) e inspeção de comportamento (Passo 3).

O Que Fazer Como Consumidor

Não precisa de ferramentas técnicas para fazer verificações básicas. Faça estas perguntas:

  1. A política de privacidade menciona terceiros? Se sim, procure esses nomes nos nossos logs DNS. Devem estar lá.
  2. O fabricante é transparente sobre que servidores usa? Empresas respeitadoras publicam isto.
  3. Há reviews técnicas online? Procure no Reddit, fóruns de privacidade. Alguém já fez packet capture?
  4. O dispositivo funciona offline? Se não consegue fazer nada sem Internet, depende demais de cloud.

Se suspeita de comportamento problemático, considere o nosso serviço de auditoria AINode.tech — fazemos DNS monitoring profissional e fornecemos relatórios em português.