Venäjän viestintävalvoja Roskomnadzor käynnisti 21. elokuuta 2026 toimet, jotka estävät salatun DNS-liikenteen (DNS over HTTPS, DoH, ja DNS over TLS, DoT) käytön useiden suurten operaattoreiden verkoissa. Esto kohdistuu nimenomaan Googlen ja Cloudflaren tarjoamiin salatun nimipalvelun palveluihin, jotka ovat vuosien ajan olleet tapa piilottaa käyttäjän selaamat verkko-osoitteet operaattoreilta ja valtiollisilta valvojilta. Suomelle ja muille Pohjoismaille uutinen ei ole vain naapurimaan sisäpolitiikkaa: se on ensimmäinen laajamittainen esimerkki siitä, miten valtio pystyy tunnistamaan ja katkaisemaan salatun DNS-liikenteen protokollatasolla, eikä vain estämällä yksittäisiä IP-osoitteita.
Tapaus koskettaa suoraan sekä yksityishenkilöitä että yrityksiä, jotka käyttävät salattua DNS-järjestelmää selaimen tai käyttöjärjestelmän oletusasetuksena. Chrome, Firefox ja Android tukevat DoH:ta laajasti, ja moni pohjoismainen käyttäjä on ottanut sen käyttöön tietämättäänkin, koska selainvalmistajat ovat siirtäneet sen oletukseksi viime vuosina. Kun Venäjä osoittaa, että tällainen liikenne on teknisesti tunnistettavissa ja katkaistavissa, kysymys nousee esiin myös lännessä: kuinka pysyvä yksityisyyden suoja salattu DNS oikeastaan on, jos valtiolla on tahtoa ja resursseja puuttua siihen?
Mitä Roskomnadzor teki 21. elokuuta
Venäläistä internetsensuuria seuraavat Telegram-kanavat raportoivat, että useiden suurten operaattoreiden, muun muassa Beelinen, verkoissa Googlen ja Cloudflaren salatun DNS:n palvelut lakkasivat toimimasta 21. elokuuta 2026 alkaen. Käytännössä esto kohdistui Googlen dns.google-osoitteeseen sekä tunnettuihin julkisiin resolveriosoitteisiin 8.8.8.8 ja 8.8.4.4, kun niitä yritettiin käyttää portin 443 kautta eli DoH-protokollalla. Sama koski Cloudflaren 1.1.1.1-palvelua, joka on maailman käytetyimpiä yksityisyyteen keskittyviä DNS-resolvereita.
Esto ei katkaissut kaikkea liikennettä näihin IP-osoitteisiin, vaan nimenomaan DoH-liikenteen portissa 443 ja DoT-liikenteen portissa 853. Tämä kertoo, että Roskomnadzorin käyttämä suodatus tunnistaa yhteyden protokollan, ei pelkästään kohdeosoitetta. Tavallinen, salaamaton DNS-kysely samoihin palvelimiin toimii yhä normaalisti. Tekninen toteutus viittaa syväpakettitarkastukseen (DPI) tai TLS-kättelyn SNI-kentän analysointiin, jolla erotetaan salattu nimipalvelukysely muusta HTTPS-liikenteestä samassa IP-osoitteessa.
Merkittävää on, että kyse ei ole yksittäisen pienoperaattorin kokeilusta vaan toimenpiteestä, joka ulottuu useisiin suuriin verkko-operaattoreihin samanaikaisesti. Se viittaa keskitettyyn sääntelyohjeeseen, ei paikalliseen tekniseen häiriöön. Koska Google ja Cloudflare ylläpitävät globaalia DNS-infrastruktuuria, jota käyttävät miljoonat selaimet, sovellukset ja VPN-palvelut, isku näihin kahteen toimijaan vaikuttaa käytännössä lähes kaikkiin venäläisiin käyttäjiin, jotka ovat ottaneet salatun nimipalvelun käyttöön oletusasetuksin.
DNS over HTTPS ja DNS over TLS lyhyesti
DNS muuttaa verkko-osoitteen, kuten shattered.io, IP-osoitteeksi, jonka selain tarvitsee muodostaakseen yhteyden. Perinteinen DNS-kysely kulkee salaamattomana, jolloin operaattori, työpaikan verkko tai valtiollinen valvoja näkee jokaisen sivuston, jota käyttäjä yrittää avata, vaikka itse sivun sisältö kulkisikin HTTPS-salattuna. DoH ja DoT ratkaisevat tämän salaamalla myös nimipalvelukyselyn: DoH pakkaa kyselyn tavalliseen HTTPS-liikenteeseen porttiin 443, ja DoT käyttää erillistä salattua kanavaa portissa 853.
Molemmat protokollat ovat olleet käytössä laajasti vuodesta 2018 lähtien, ja niistä on tullut oletusarvo isoissa selaimissa ja käyttöjärjestelmissä. Firefox otti DoH:n käyttöön oletuksena Yhdysvalloissa jo 2020, ja Chrome sekä Android ovat laajentaneet tukea sen jälkeen useisiin maihin. Suomessa moni operaattori, kuten Telia, DNA ja Elisa, ei ole ottanut kantaa DoH:n estämiseen, ja käyttäjät voivat vapaasti valita salatun resolverin selaimen asetuksista. Juuri tämä vapaus on se, mitä Venäjän toimet pyrkivät murtamaan omassa verkossaan.
Historiallinen tausta: kuusi vuotta lainsäädäntöä ja valmistelua
Elokuun 2026 esto ei tullut tyhjästä. Venäjän digitalisaatio-, viestintä- ja joukkoviestintäministeriö esitteli jo 21. syyskuuta 2020 lakiluonnoksen, jonka tarkoitus oli kieltää TLS 1.3, ESNI, DoH ja DoT nimenomaan siksi, että näiden protokollien selitettiin tekevän liikenteen yhä yleisemmäksi tavaksi piilottaa käyttäjän toimia valtiolliselta valvonnalta. RIPE Labsin teknisessä katsauksessa hanke kuvattiin ehdotukseksi kieltää salausprotokollat, jotka tehokkaasti suojaavat ja peittävät DNS-kyselyt.
Seuraavana vuonna, syyskuussa 2021, Roskomnadzor kehotti valtionyhtiöitä siirtymään pois Googlen ja Cloudflaren DNS-palveluista sekä käyttäjien yksityisyyttä suojaavasta DoH:sta kohti Venäjän omaa, suvereeniksi kutsuttua DNS-järjestelmää ennen suunniteltuja testejä. Roskomnadzor on myös aiemmin perustellut toimiaan suoraan: viranomainen on kuvannut salausteknologioita keinoksi kiertää Venäjällä kiellettyä sisältöä koskevia rajoituksia, ja teknologian käytön on sanottu olevan Venäjän lain vastaista. Elokuun 2026 esto on siis usean vuoden asteittaisen sääntelyn looginen jatke, ei yllättävä käänne.
| Ajankohta | Tapahtuma | Lähde |
|---|---|---|
| 21.9.2020 | Venäjän digiministeriö esittää lakiluonnoksen TLS 1.3:n, ESNI:n, DoH:n ja DoT:n kieltämiseksi | RIPE Labs, zona.media |
| Syyskuu 2021 | Roskomnadzor kehottaa valtionyhtiöitä siirtymään Venäjän omaan DNS-järjestelmään ennen estotestejä | The Moscow Times |
| 2022–2025 | Roskomnadzor laajentaa Cloudflare-riippuvaisten sivustojen estoja ja perustelee toimia sisällönvalvonnalla | The Record |
| 21.8.2026 | Googlen DoH (dns.google, 8.8.8.8/8.8.4.4) ja Cloudflaren DoT/DoH estetään useilla suurilla operaattoreilla, mm. Beeline | Venäläinen sensuuriseuranta, Telegram-kanavat |
| Syyskuu 2026 | Esto jatkuu, salaamaton DNS toimii yhä samoihin palvelimiin | Alan seurantaraportit |
Miksi Venäjä haluaa estää salatun nimipalvelun
Venäjän sisäisen internetsääntelyn logiikka nojaa vahvasti näkyvyyteen. Kun DNS-kysely kulkee salaamattomana, operaattori voi listata jokaisen käyttäjän avaaman sivuston ja verrata sitä valtion kieltolistaan reaaliajassa. Salattu DNS rikkoo tämän ketjun, koska kysely näyttää operaattorille vain tavalliselta HTTPS-yhteydeltä tuntemattomaan palveluun. Roskomnadzorin näkökulmasta tämä tarkoittaa, että käyttäjä voi teoriassa avata kielletyn sivuston ilman, että operaattori tai valtiollinen suodatusjärjestelmä pystyy tunnistamaan sitä.
Sama logiikka koskee VPN-palveluita ja Toria, joita Venäjä on rajoittanut jo vuosia. Salattu DNS on kuitenkin erityisen hankala pala, koska se ei vaadi erillistä sovellusta: selain tai käyttöjärjestelmä voi käyttää sitä oletuksena ilman, että käyttäjä edes tietää asiasta. Estämällä nimenomaan Googlen ja Cloudflaren palvelut, jotka ovat kaksi maailman käytetyintä julkista DNS-resolveria, Roskomnadzor pystyy iskemään suureen osaan oletuskonfiguraatioista kerralla ilman, että jokaista yksittäistä sovellusta tarvitsisi estää erikseen.
Vaikutukset venäläisille käyttäjille ja yrityksille
Käytännön tasolla venäläinen käyttäjä, joka on asettanut selaimeensa Googlen tai Cloudflaren salatun DNS:n, huomaa yhteysongelmia tai selaimen palaavan hiljaisesti operaattorin omaan, valvottuun DNS-palvelimeen. Monissa selaimissa tämä tapahtuu automaattisesti varajärjestelmän kautta, mikä tarkoittaa, ettei käyttäjä välttämättä edes huomaa menettäneensä yksityisyyssuojan. Yrityksille tilanne on hankalampi: monet käyttävät DoH:ta tai DoT:ta osana laajempaa tietoturva-arkkitehtuuria, ja eston myötä ne joutuvat etsimään vaihtoehtoisia, mahdollisesti Venäjän ulkopuolelta hankittuja ratkaisuja, joiden luotettavuudesta ei ole takeita.
Pidemmällä aikavälillä esto todennäköisesti kasvattaa kysyntää VPN-palveluille ja muille kiertoteille, mikä puolestaan johtaa uuteen kierrokseen sääntelyä, kun Roskomnadzor pyrkii tunnistamaan myös nämä. Tämä toisto on nähty Venäjällä jo Torin ja kaupallisten VPN-palveluiden kohdalla: kielto johtaa kiertotapoihin, kiertotavat johtavat uusiin kieltoihin. Salattu DNS on nyt astunut samaan kehään.
Mitä tämä tarkoittaa Suomelle ja Pohjoismaille
Suomelle uutinen on ennen kaikkea signaali siitä, mihin naapurimaan valvontakapasiteetti kykenee. Suojelupoliisi on toistuvasti varoittanut Venäjän tiedustelutoiminnasta Suomea kohtaan, ja kyky tunnistaa ja katkaista salattu DNS-liikenne protokollatasolla on osoitus siitä, että venäläinen valvontainfrastruktuuri on teknisesti kehittyneempi kuin moni on olettanut. Tämä ei tarkoita, että sama tekniikka olisi käytössä Suomessa tai muualla EU:ssa, mutta se nostaa kysymyksen esiin: onko salattu DNS yhtä kestävä yksityisyyden suoja kuin on totuttu ajattelemaan?
Suorin käytännön vaikutus koskee suomalaisia ja pohjoismaisia yrityksiä ja yksityishenkilöitä, joilla on liiketoimintaa, henkilöstöä tai perheenjäseniä Venäjällä. Heidän on syytä varautua siihen, että Googlen tai Cloudflaren salattu DNS ei toimi luotettavasti venäläisissä verkoissa, ja että vaihtoehtoisia yhteystapoja kannattaa testata etukäteen. Laajemmin tapaus liittyy myös pohjoismaiseen kyberuhka-arviointiin, jossa Venäjän toimintaa pidetään yhtenä keskeisimmistä riskitekijöistä alueen digitaaliselle infrastruktuurille.
EU:n vastakkainen linja: salaus säilyy, mutta paine kasvaa
Venäjän lähestymistapa on suora vastakohta EU:n viralliselle linjalle, jossa salausta ei ole kielletty vaan päinvastoin suojattu osana perusoikeuksia. Samaan aikaan EU:ssa käydään kuitenkin omaa keskustelua salatun viestinnän rajoista: niin kutsuttu Chat Control -sääntely sallii tietyin ehdoin yksityisviestien massaskannauksen ilman perinteistä lupamenettelyä, ja se on voimassa väliaikaisena ainakin vuoteen 2028 asti. Ero Venäjän malliin on kuitenkin merkittävä: EU pyrkii sisällön tarkastukseen palvelun sisällä, ei salatun kuljetuskerroksen, kuten DNS:n, kieltämiseen kokonaan.
Tästä huolimatta Venäjän esimerkki todennäköisesti nostaa esiin kysymyksen siitä, pitäisikö salattu DNS määritellä EU:ssa nimenomaisesti suojattavaksi kriittiseksi yksityisyysinfrastruktuuriksi, samalla tavalla kuin TLS-salaus on jo käytännössä vakiintunut normi. Kymmenen vuotta täyttänyt GDPR on Euroopan komission mukaan edelleen voimassa kaikissa 27 jäsenmaassa samoin oikeuksin riippumatta siitä, mistä palvelu operoi, mutta GDPR ei suoraan ota kantaa siihen, millä teknisillä protokollilla nimipalvelukyselyt tulee suojata.
Markkinavaikutus: VPN- ja DNS-teollisuus reagoi
Salatun DNS:n estäminen Venäjällä osuu markkinaan, jossa riippumattomat tietoturva-auditoinnit ovat jo muutenkin nousseet keskeiseksi kilpailutekijäksi VPN- ja yksityisyystyökaluille. Vuonna 2026 toimialan auditointikartta on selkeä: ToolsRanksin kokoaman katsauksen mukaan Cure53 on tarkastanut muun muassa Bitwardenin, Proton Passin, NordPassin, Mullvadin, TunnelBearin ja ExpressVPN:n Lightway-protokollan. Deloitte on auditoinut NordVPN:n ja Surfsharkin, KPMG puolestaan ExpressVPN:n ja PureVPN:n, ja Leviathan Security on tarkastanut IPVanishin ja Windscriben. CyberInsiderin raportin mukaan ProtonVPN on läpäissyt sveitsiläisen Securitumin toteuttaman lokittomuusauditoinnin jo viisi kertaa peräkkäin, viimeksi kesäkuussa 2026, eikä auditoinneissa ole löytynyt merkkejä käyttäjän selaustietojen, DNS-kyselyjen tai yhteysmetatietojen tallentamisesta.
Tämä auditointi-infrastruktuuri on juuri se, mihin venäläiset ja muut sensuurin alla elävät käyttäjät todennäköisesti kääntyvät, kun kotimaiset salatun DNS:n vaihtoehdot katoavat. Ruotsalainen Mullvad, jonka VPN-palvelun on auditoinut Cure53 neljä kertaa, ja IVPN, joka on oman ilmoituksensa mukaan ajoittanut kahdeksannen vuosittaisen Cure53-auditointinsa heinäkuulle 2026, ovat molemmat esimerkkejä pohjoismaisista tai pohjoismaisittain suuntautuneista toimijoista, jotka hyötyvät kysynnän kasvusta alueilla, joissa valtiollinen valvonta kiristyy.
| Palveluntarjoaja | Auditoija | Auditointien määrä / tyyppi | Kotimaa |
|---|---|---|---|
| ProtonVPN | Securitum | 5 peräkkäistä lokittomuusauditointia (viimeksi 6/2026) | Sveitsi |
| Mullvad | Cure53 | 4 auditointia | Ruotsi |
| NordVPN | Deloitte | 6. lokittomuusarviointi (raportti 12/2025) | Panama/Liettua |
| IVPN | Cure53 | 8. vuosittainen auditointi (7/2026) | Gibraltar |
| ExpressVPN | KPMG, Cure53 | Useita auditointeja, mukana Lightway-protokolla | BVI |
| Surfshark | Deloitte | 15 minuutin IP-poistoväitteen vahvistus (2025) | Alankomaat |
Kilpailija- ja teknologiavertailu: mitkä ratkaisut kestävät estoja
Kaikki salatun DNS:n toteutukset eivät ole yhtä alttiita Venäjän kaltaiselle protokollatason estolle. DoH, joka kulkee tavallisen HTTPS-liikenteen seassa portissa 443, on lähtökohtaisesti vaikeampi tunnistaa kuin DoT, joka käyttää omaa, selvästi erottuvaa porttia 853. Silti elokuun 2026 esto osoitti, että myös DoH voidaan erottaa muusta liikenteestä, jos suodatusjärjestelmä analysoi TLS-kättelyn SNI-kenttää tai tunnettuja resolveri-IP-osoitteita yhdessä porttinumeron kanssa.
Käytännössä tämä tarkoittaa, että vähemmän tunnetut tai vaihtuvat DNS-resolverit, sekä VPN-palveluiden omat sisäänrakennetut DNS-ratkaisut, ovat toistaiseksi vaikeampia kohteita kuin Googlen ja Cloudflaren tunnetut, kiinteät IP-osoitteet. Tämä selittää, miksi VPN-palveluiden oma DNS-liikenteen tunnelointi, joka kulkee VPN-yhteyden sisällä eikä erillisenä DoH- tai DoT-yhteytenä, on tällä hetkellä kestävämpi ratkaisu venäläisille käyttäjille kuin selaimen sisäänrakennettu salattu DNS. Selainvalmistajien kannalta tilanne luo painetta kehittää joustavampia varmistusmekanismeja, jotka tunnistavat estotilanteen ja vaihtavat automaattisesti vaihtoehtoiseen, vähemmän tunnistettavaan reittiin.
Asiantuntijoiden ja lähteiden näkemykset
Roskomnadzorin oma perustelu tämäntyyppisille toimille on ollut johdonmukainen jo vuosia. Viranomainen on aiemmin kuvannut yksityisyyttä suojaavia teknologioita suoraan uhkana valtion sisällönvalvonnalle. Roskomnadzor on todennut The Recordin välittämässä lausunnossaan koskien Cloudflaren infrastruktuuria hyödyntäviä sivustoja: “This technology is a way to bypass restrictions on access to information that’s banned in Russia. Using it goes against Russian law.”
Venäjän lainsäädäntöhanke on ollut näkyvissä jo vuosia ennen elokuun 2026 toimia. Private Internet Accessin mukaan “The Ministry of Digital Development, Communications, and Mass Media has released a draft law which outlines plans to outlaw TLS 1.3, ESNI, DNS over HTTPS, and DNS over TLS.” Sama lakiluonnos dokumentoitiin myös teknisemmässä muodossa: RIPE Labsin katsauksen mukaan “the Ministry of Digital Development, Telecom and Mass Communications introduced a new legislative proposal to ban the use of encryption protocols that effectively secure and mask DNS queries – such as DNS Over TLS (DoT) and DNS Over HTTPS (DoH).”
Lakiluonnoksen perustelumuistio, jonka zona.media on dokumentoinut, kuvasi kehitystä huolestuneena: kyseisten salausprotokollien käyttö oli muistion mukaan “becoming more widespread.” Samaan aikaan The Moscow Times raportoi jo 2021, että Roskomnadzor kehotti valtionyhtiöitä siirtymään pois Googlen ja Cloudflaren DNS:stä sekä käyttäjien yksityisyyttä suojaavasta DoH:sta kohti Venäjän omaa, suvereeniksi kuvattua järjestelmää ennen suunniteltuja estotestejä. Nämä lausunnot muodostavat yhdessä johdonmukaisen kuvan siitä, että elokuun 2026 esto oli vuosia valmisteltu, ei äkillinen poliittinen reaktio.
Analyysi: sensuurin ja yksityisyyden rajapinta siirtyy protokollatasolle
Aiemmin internetsensuuri on tarkoittanut pääosin listojen ylläpitoa: kielletyt domainit, kielletyt IP-osoitteet, kielletyt sovellukset. Salatun DNS:n estäminen protokollatasolla on askel eteenpäin, koska se ei vaadi tietoa siitä, mitä käyttäjä yrittää avata, ainoastaan tietoa siitä, millä tavalla hän sen tekee. Tämä on teknisesti kunnianhimoisempaa kuin perinteinen sisältöpohjainen suodatus, ja se osoittaa, että Venäjän valvontajärjestelmä on siirtynyt reaktiivisesta listaperustaisesta mallista ennakoivaan, protokollaperustaiseen malliin.
Tämä kehitys on kiinnostava myös länsimaiselle keskustelulle salauksesta. Vuosia on argumentoitu, että salaus itsessään riittää suojaamaan käyttäjän yksityisyyttä valtiollista valvontaa vastaan. Venäjän esimerkki osoittaa, että kysymys ei ole vain siitä, onko liikenne salattua, vaan siitä, onko liikenne tunnistettavissa protokollan, porttinumeron tai kohdepalvelimen perusteella, vaikka sisältö itsessään pysyisi salaisena. Tämä erottelu, salauksen vahvuuden ja liikenteen tunnistettavuuden välillä, tulee todennäköisesti nousemaan keskeiseksi teemaksi myös EU:n ja Pohjoismaiden tietoturvakeskusteluissa lähivuosina.
Seuraava kierros: salattu TLS-kättely vastaan syväpakettitarkastus
Tekninen kissa-hiiri-leikki ei pääty DNS:ään. Kun TLS-yhteys muodostetaan, selain lähettää palvelimelle niin sanotun Client Hello -viestin, joka on perinteisesti kulkenut salaamattomana ja paljastanut muun muassa kohdesivuston nimen SNI-kentässä. Juuri tätä kenttää Roskomnadzorin epäillään hyödyntävän DoH-liikenteen tunnistamisessa. Vastalääkkeeksi on kehitetty Encrypted Client Hello (ECH), joka salaa myös tämän kättelyvaiheen kokonaan. Cloudflare on ajanut ECH:n käyttöönottoa aktiivisesti, ja Chrome sekä Firefox ovat lisänneet siihen tuen asteittain.
Mikäli ECH yleistyy laajemmin, se vaikeuttaa juuri sellaista SNI-perustaista suodatusta, jota elokuun 2026 esto todennäköisesti hyödynsi. Tämä tarkoittaa, että seuraava kierros valtiollisen valvonnan ja salausteknologian välillä käydään todennäköisesti nimenomaan kättelyprotokollien tasolla, ei enää pelkän DNS-liikenteen tasolla. Venäjän kaltaiset toimijat joutuvat tällöin kehittämään yhä hienojakoisempia liikenneanalyysimenetelmiä, kun taas selainvalmistajat ja infrastruktuurioperaattorit, kuten Cloudflare, pyrkivät sulkemaan jäljellä olevat tunnistettavuusaukot.
Ennusteet: mitä seuraavaksi tapahtuu
Perustuen vuosien 2020–2026 kehityskaareen ja elokuun 2026 toimien laajuuteen, seuraavat kehityskulut ovat todennäköisiä loppuvuonna 2026 ja vuonna 2027:
- Roskomnadzor laajentaa estot todennäköisesti muihinkin tunnettuihin julkisiin DNS-resolvereihin, kuten Quad9:ään ja Ciscon OpenDNS:ään, koska niiden IP-osoitteet ja protokollatunnisteet ovat yhtä lailla tunnistettavissa kuin Googlen ja Cloudflaren.
- VPN-palveluiden ja niiden sisäänrakennettujen DNS-tunnelointiratkaisujen kysyntä kasvaa Venäjällä ja muissa vastaavan sääntelyn maissa, mikä lisää painetta pohjoismaisille toimijoille, kuten Mullvadille ja IVPN:lle, todistaa auditoinneilla palveluidensa luotettavuus entistä useammin.
- Selainvalmistajat, erityisesti Firefoxin ja Chromen kehittäjät, todennäköisesti kehittävät nykyistä joustavampia varareittejä, jotka tunnistavat estotilanteen automaattisesti ja vaihtavat vaihtoehtoiseen salattuun resolveriin ilman käyttäjän toimia.
- EU:ssa ja Pohjoismaissa keskustelu salatun DNS:n asemasta kriittisenä yksityisyysinfrastruktuurina voimistuu, erityisesti Chat Control -sääntelyn jatkoneuvotteluiden yhteydessä ennen vuoden 2028 määräaikaa.
- Suomalaiset ja pohjoismaiset yritykset, joilla on toimintaa tai henkilöstöä Venäjällä, alkavat sisällyttää salatun DNS:n toimivuuden osaksi omaa jatkuvuussuunnitteluaan ja tietoturva-arviointejaan Venäjän-toimintojensa osalta.
Miten yksityishenkilö voi varautua vastaaviin estoihin
Vaikka Suomessa ei ole viitteitä vastaavista toimista, tapaus on hyvä muistutus siitä, ettei mikään yksittäinen yksityisyystekniikka ole aukoton. Käytännön suositus on kerrostaa suojausta: käyttää salattua DNS:ää yhdessä luotettavan, auditoidun VPN-palvelun kanssa, joka tunneloi myös DNS-kyselyt oman salatun yhteytensä sisällä, sen sijaan että luottaisi pelkästään selaimen sisäänrakennettuun DoH-asetukseen. Tämä vähentää riskiä siitä, että yksittäisen protokollan estäminen paljastaisi koko selailuhistorian.
Yrityksille ja järjestöille, joilla on työntekijöitä tai kumppaneita Venäjällä, kannattaa testata etukäteen, mitkä yhteystavat toimivat luotettavasti, sen sijaan että luottaisi oletusasetuksiin kriisitilanteessa. Tor-verkko ja hyvin auditoidut VPN-ratkaisut tarjoavat tällä hetkellä vankemman suojan kuin selaimen oletusarvoinen salattu DNS, koska niiden liikenne on vaikeampi erottaa muusta salatusta verkkoliikenteestä.
Usein kysytyt kysymykset
Mitä Venäjä oikeastaan esti elokuussa 2026?
Roskomnadzor esti Googlen ja Cloudflaren tarjoamien DNS over HTTPS- ja DNS over TLS -palveluiden käytön useilla suurilla operaattoreilla 21. elokuuta 2026 alkaen. Esto kohdistuu näiden protokollien liikenteeseen porteissa 443 ja 853, ei kaikkeen liikenteeseen kyseisiin IP-osoitteisiin.
Vaikuttaako tämä suomalaisiin käyttäjiin suoraan?
Ei suoraan. Esto koskee Venäjän sisäistä verkkoinfrastruktuuria. Suomalaiset ja pohjoismaiset käyttäjät, joilla ei ole yhteyttä venäläisiin verkkoihin, eivät huomaa muutosta. Vaikutus on suurin suomalaisille, joilla on liiketoimintaa tai henkilöstöä Venäjällä.
Miksi DNS over HTTPS ylipäätään on tärkeä yksityisyyden kannalta?
Se estää operaattoria tai muuta verkon välissä olevaa tahoa näkemästä, mitä verkkosivustoja käyttäjä avaa, koska nimipalvelukysely kulkee salattuna eikä selväkielisenä.
Onko tämä ensimmäinen kerta, kun Venäjä puuttuu salattuun DNS:ään?
Ei. Venäjän digiministeriö esitteli lakiluonnoksen TLS 1.3:n, ESNI:n, DoH:n ja DoT:n kieltämiseksi jo syyskuussa 2020, ja Roskomnadzor on kehottanut valtionyhtiöitä siirtymään pois näistä protokollista jo vuodesta 2021 lähtien. Elokuun 2026 toimet ovat tämän pitkän prosessin tähänastinen laajin tekninen toteutus.
Voiko vastaava esto tapahtua EU:ssa tai Suomessa?
Nykyisen EU-lainsäädännön ja perusoikeuskehyksen puitteissa salatun DNS:n kieltäminen kokonaisuudessaan olisi hyvin epätodennäköistä. EU:n oma keskustelu, kuten Chat Control -sääntely, keskittyy sisällön tarkastukseen palvelun sisällä, ei kuljetuskerroksen protokollien kieltämiseen.
Mitä eroa on DoH:lla ja DoT:lla suojauksen kannalta?
Molemmat salaavat DNS-kyselyn sisällön. DoH kulkee tavallisen HTTPS-liikenteen seassa portissa 443, mikä tekee siitä hankalampaa tunnistaa erikseen. DoT käyttää omaa, selvästi erottuvaa porttia 853, mikä tekee siitä helpomman kohteen suodatukselle.
Miten VPN-palvelun auditointi liittyy tähän uutiseen?
Kun salattu DNS estetään, käyttäjät turvautuvat useammin VPN-palveluihin, jotka tunneloivat DNS-kyselyt oman salatun yhteytensä sisällä. Riippumattomat auditoinnit, kuten Cure53:n, Deloitten, KPMG:n ja Securitumin tekemät, kertovat, luotetaanko palveluntarjoajan väitteisiin siitä, ettei se tallenna käyttäjän toimia.
Kannattaako tavallisen suomalaisen käyttäjän tehdä jotain tämän uutisen johdosta?
Ei akuuttia tarvetta, mutta tapaus on hyvä muistutus siitä, että salattu DNS yksinään ei ole aukoton suoja. Yhdistämällä salatun DNS:n hyvin auditoituun VPN-palveluun saa vankemman suojan kuin luottamalla pelkästään selaimen oletusasetuksiin.
