Hackers en malware zullen hier inderdaad graag gebruik van gaan maken. Ter geruststelling; de echt slimme hackers hadden, voordat DoH bestond, vermoedelijk al lang een vergelijkbaar eigen proprietary systeem voor het heimelijk 'naar buiten smokkelen' van DNS-queries, buiten de officiële resolver om, waarschijnlijk... Momenteel zou ik iedereen direct adviseren om deze in ieder geval alvast op alle firewalls te blockeren. Ter nuance; je bedoelt 'iedereen' die nu ook al UDP/TCP poort 53 verkeer blokkeert naar publieke, danwel de niet-interne, resolvers? Want waarom dit doen als je UDP/53 gewoon nog open hebt staan? Hackers en malware maken daar natuurlijk ook al tijdenlang met plezier gebruik van (zoals UDP poort 53 naar 8.8.8.8). # Block DoH to Cloudflare Op voorhand al incompleet. Ook 1.1.1.1 en 1.1.0.0 (en zijn IPv6 equivalenten) moet je dan meenemen. Plus het feit dat er naast Google en CloudFlare nog wel meer publieke DoH-services zijn. Vaak bieden die ook DoT (DNS over TLS) op poort 853, dus ook ...