#24 Si que pueden con inspección de paquetes pero es que si tiras de root servers como dices, encima esas peticiones van a ir en plano y ni siquiera necesitan la inspección de paquetes para ver el sni y saber donde quieres acceder y cortarte. De hecho, podrían interceptar tu petición a los root servers spoofearte y no enterarte, pues el uso de DNSSEC no está muy extendido todavía.
Al final tus consultas DNS siempre van a tener un punto débil. DoH por ahora es de lo mejor que hay pero debes acabar confiando en un proveedor, el cual puedes elegir tu mismo y al menos que no sean los típicos de guarrafone y compañia...
Menéame defendiendo que lo que hasta ahora ha sido libre de control (si quieres te montas un servidor DNS que tire de root servers, y verás tu que nadie te bloquea nada), sea controlado por tres multinacionales ansiosas de datos. Con lo que tu eras menéame