DNS4EU to inicjatywa Unii Europejskiej uruchomiona 9 czerwca 2025 roku, oferująca publiczny, bezpłatny i zgodny z RODO resolver DNS. Projekt ma na celu wzmocnienie cyfrowej suwerenności Europy poprzez zapewnienie alternatywy dla globalnych usług DNS zarządzanych poza granicami UE. Usługa jest współfinansowana przez UE i wspierana przez Europejską Agencję ds. Cyberbezpieczeństwa (ENISA), a jej operatorem jest konsorcjum złożone z 10 organizacji z różnych państw członkowskich. Celem DNS4EU jest nie tylko stworzenie alternatywy dla dominujących na rynku, często nieeuropejskich resolverów (np. Google Public DNS czy Cloudflare), lecz również wprowadzenie rozwiązań zgodnych z zasadami „privacy by design” i „privacy by default” oraz wzmocnienie odporności infrastruktury krytycznej w UE.

Kontekst i cel projektu.

W ciągu ostatnich lat dominacja kilku globalnych operatorów DNS (np. Google 8.8.8.8 czy Cloudflare 1.1.1.1) stała się postrzegana jako ryzyko koncentracji i zależności strategicznych. Przypadki globalnych awarii DNS w 2019 i 2020 roku pokazały, jak duże zakłócenia mogą powstać w skali całej Europy, gdy resolverzy centralni przestają odpowiadać. DNS4EU ma ograniczyć te ryzyka, budując rozproszoną infrastrukturę w całości zlokalizowaną na terytorium UE, zgodnie z założeniami unijnej Strategii Cyberbezpieczeństwa oraz Dyrektywy NIS2. Dodatkowo od dawna zaobserwowano, że znaczna część ruchu DNS europejskich użytkowników przetwarzana jest poza granicami UE, co rodzi obawy o zgodność z RODO oraz podatność na ingerencje polityczne i cyberzagrożenia. W ramach strategii cyfrowej i nowej strategii cyberbezpieczeństwa UE podkreślono potrzebę własnych, wiarygodnych rozwiązań infrastrukturalnych. Projekt DNS4EU wpisuje się w te założenia, dostarczając usługę w pełni hostowaną w centrach danych na terenie państw członkowskich.

Konsorcjum i wsparcie instytucjonalne

Konsorcjum DNS4EU składa się z krajowych rejestratorów domen, jednostek badawczych oraz dostawców technologii:

• Whalebone (lider konsorcjum, Czechy) – silnik bezpieczeństwa DNS.
• CZ.NIC i CVUT (Czechy) – infrastruktura i badania.
• Time.lex (Belgia) – aspekty prawne i zgodność z RODO.
• deSEC (Niemcy) – otwarte rozwiązania DNS.
• HUN-REN (Węgry), ABILAB (Włochy), NASK (Polska), DNSC (Rumunia) – krajowe ośrodki CERT i laboratoria badawcze.
• Partnerzy strategiczni: F-Secure (Finlandia) i CESNET (Czechy).

ENISA koordynuje kwestie bezpieczeństwa i wymiany dodatkowych danych wywiadu o zagrożeniach, umożliwiając szybkie reagowanie na ataki w skali europejskiej. Finansowanie unijne obejmuje okres 2023–2025, po którym konsorcjum planuje przejście na model operacyjnej samowystarczalności poprzez ofertę komercyjną.

Architektura techniczna

Silnik DNS i anycast
Jądrem rozwiązania jest otwarte oprogramowanie Knot Resolver 6, powszechnie stosowane w infrastrukturze operatorów chmurowych. Węzły DNS4EU są rozmieszczone geograficznie w co najmniej 14 krajach członkowskich UE i połączone za pomocą routingu anycast, co gwarantuje minimalne opóźnienia i redundancję. Operatorzy korzystają z europejskich chmur (Datapacket, Scaleway), aby uniknąć pośrednictwa dostawców spoza UE.

Obsługa protokołów szyfrowanych i DNSSEC
Wszystkie konfiguracje DNS4EU wspierają:

• DNS-over-HTTPS (DoH).
• DNS-over-TLS (DoT).
• DNSSEC weryfikację podpisów DNS, chroniąc przed spoofingiem i cache poisoning.

Adresy endpointów DoH i DoT są opisane w dokumentacji publicznej, np. protective.joindns4.eu/dns-query czy unfiltered.joindns4.eu:853

Konfiguracje usług i adresacja

Publiczny resolver DNS4EU oferuje pięć wariantów, każdy z dedykowanymi adresami IPv4 i IPv6:

Źródło: dokumentacja DNS4EU

Limit zapytań publicznych wynosi 1 000 qps na adres IP; na potrzeby klientów komercyjnych przewidziano dedykowane instancje bez limitów.

Pipeline wywiadu zagrożeń
Warstwa bezpieczeństwa oparta jest na silniku Whalebone, który analizuje zapytania DNS w oparciu o:

• Bazy IOC – ponad 20 mln domen złośliwych, aktualizowane ~150 tys. razy dziennie.
• ML i DGA detection – wykrywanie algorytmicznie generowanych domen (entropy i modele językowe).
• Analiza behawioralna – modelowanie anomalii ruchu DNS na poziomie sesji.
• Korelacja infrastruktury – powiązania WHOIS, certyfikatów TLS, hostingu. Kiedy ośrodek CERT zgłasza nowe zagrożenie, reguły blokowania są automatycznie synchronizowane przez instancję MISP, co umożliwia ochronę w czasie rzeczywistym w całej UE.

Prywatność i anonimizacja

DNS4EU realizuje ścisłą politykę zero-log i anonimizacji IP:

• IP klienta przechowywane są wyłącznie w RAM przez czas obsługi zapytania (milisekundy).
• Identyfikatory anonimizowane są przy pomocy HMAC-SHA256 z kluczami rotowanymi co 24 h o północy UTC.
• Brak zapisu danych w pamięci trwałej, brak profilowania użytkowników. Takie podejście spełnia wymogi GDPR i wytyczne “privacy by design”.

Integracja i wdrożenie w środowiskach korporacyjnych

Typowe scenariusze wdrożeń obejmują:

• Hybridity DNS: Ruch europejski kierowany do DNS4EU, globalny do 1.1.1.1 lub 8.8.8.8.
• Ochrona systemów krytycznych: Izolowane instancje resolverów z dedykowanym filtrem.
• Integracja z SIEM: Anonimizowane logi przekazywane do platform SIEM (Splunk, Elastic).
• Telekomy jako operatorzy: ISP mogą oferować DNS4EU jako usługę dla klientów końcowych.

Zgodność z regulacjami

• RODO/GDPR: Wszystkie dane zapytań przetwarzane wyłącznie w UE, brak transferu poza granice Wspólnoty.
• Neutralność sieci: Brak ingerencji w treści, poza warstwą filtrowania anty-malware/adblock/child-protection na życzenie użytkownika.
• Brak cenzury: Usługa jest dobrowolna i niedystrybuowana w sposób narzucający ograniczenia treści – decyzja o filtrowaniu pozostaje po stronie użytkownika lub organizacji.

Całe środowisko operacyjne DNS4EU mieści się w jurysdykcji UE, a logi zapytań usuwane są po maksymalnie 24 godzinach. Zabronione jest wykorzystywanie danych do profilowania użytkowników czy sprzedaży informacji stronom trzecim. Usługa działa na zasadzie „privacy by design”, co zostało potwierdzone audytem zgodności z RODO przeprowadzonym przez Time.lex, jednego z partnerów prawnych w konsorcjum.

Oferta usługowa

Użytkownicy indywidualni:

• Publiczny, bezpłatny dostęp do resolverów z opcjami filtrowania.
• Prosta konfiguracja w systemach operacyjnych i przeglądarkach, w tym listy URL dla DoH/DoT.

Sektor publiczny:

• Rozwiązania DNS-as-a-Service dla ministerstw, samorządów, placówek medycznych i edukacyjnych z dodatkowymi poziomami SLA i raportowania.

Operatorzy telekomunikacyjni i ISP:

• White-label integracji w infrastrukturę operatora, zarządzanie klastrami resolverów za pośrednictwem API, przekazywanie usług końcowym klientom z minimalnym kosztem operacyjnym.

Wdrożenie i operacje

– Etapy:

• Pilotaż (I kw. 2023) – testy funkcjonalne w wybranych krajach.
• Rozszerzenie PoP (2023–2024) – uruchomienie kilkudziesięciu lokalizacji Anycast.
• Publiczny launch (09.06.2025).

– Dostawcy chmury i hostingu: Scaleway, DataPacket, Hetzner, lokalni operatorzy.
– Monitoring: Systemy Prometheus + Grafana w konsorcjum do zbierania metryk, alertów i analiz SLA w czasie rzeczywistym.

Usługa DNS4EU jest dostępna publicznie od 9 czerwca 2025 r. Każdy użytkownik i instytucja może skonfigurować swoje systemy klienckie, wskazując następujące adresy:

• Anycast IPv4: 185.24.16.0/24
• Anycast IPv6: 2a04:fe80::/32

Dokumentacja techniczna oraz instrukcje wdrożeniowe są dostępne na stronie projektu pod adresem: https://www.joindns4.eu.

Perspektywy rozwoju i roadmapa

• Knot Resolver 7+: planowane wsparcie dla DNS-over-QUIC (DoQ) zgodnie z RFC 9000/9001, co pozwoli na multiplexing strumieni i jeszcze niższe opóźnienia.
• Integracja RPKI/ROA: weryfikacja pochodzenia prefiksów IP na etapie zapytań, ograniczająca ryzyko hijacku BGP.
• Wsparcie dla IoT/5G: lekkie węzły w sieciach operatorów mobilnych, działające na krawędzi (edge), oferujące lokalne cache i filtrowanie dla masy urządzeń.

Powstaje więc kompletne, rozproszone i wysoko bezpieczne środowisko DNS, które nie tylko spełnia wymogi unijne (NIS2, GDPR), lecz także oferuje zaawansowane mechanizmy obserwowalności, automatyzacji i odporności na zagrożenia. DNS4EU to kamień milowy w europejskiej strategii cyfrowej suwerenności. Dzięki rozproszonej sieci Anycast, zaawansowanym protokołom bezpieczeństwa (DNSSEC, DoH, DoT) oraz zakorzenieniu w unijnych regulacjach ochrony prywatności, projekt oferuje solidną alternatywę dla globalnych dostawców DNS. Dla organizacji poszukujących prywatnego, wydajnego i niezależnego rozwiązania DNS w Europie, DNS4EU otwiera nowe możliwości ochrony i kontroli ruchu sieciowego. Wdrożenie DNS4EU nie tylko redukuje ryzyko zależności technologicznej, ale także wzmacnia odporność infrastruktury europejskiej na cyberzagrożenia, wpisując się w długofalowe cele cyfrowej autonomii UE.