Wenn Windows und Linux DNS (over x) und tls support im System/Kernel haben, dann schreibt man den Einsatz dieser vor und verbietet aller anderen Software den Direktzugriff aufs Netzwerk.
Verbindungen zu bestimmten Teilen des Netzes werden verboten und Verbindungen werden durchleuchtet. (indem man sich in das System einklingt, das sollten Windows und Linux support en)
So einfach und doch so schwierig, weil vermutlich noch keine fertige Technik existiert. Deswegen liefen ja so viele Sturm bei TLS 1.3
hat Firefox eigentlich nur einen DNS-Cache oder auch einen eigenen DNS-Resolver?