Разработчиците на Firefox обявиха разширяване на приложението на DNS over HTTPS (DoH), който ще бъде включен по подразбиране за потребителите от Канада (по-рано DoH по подразбиране се прилагаше само за САЩ). Активирането на DoH за потребителите от Канада ще се извършва на няколко етапа: на 20 юли DoH ще бъде активиран за 1% от потребителите от Канада и ако не възникнат непредвидени проблеми, обхватът ще бъде увеличен до 100% до края на септември.
Прехвърлянето на канадските потребители на Firefox на DoH се извършва с участието на организацията CIRA (Canadian Internet Registration Authority), която регулира развитието на интернет в Канада и отговаря за домейна с горно ниво «ca». Организацията CIRA също се присъедини към програмата TRR (Trusted Recursive Resolver) и е включена в списъка на доставчиците на DNS-over-HTTPS, достъпни в Firefox.
След активирането на DoH на системата на потребителя ще се покаже предупреждение, позволяващо при желание да се откаже от преминаването към DoH и да продължи да използва традиционната схема за изпращане на нешифровани заявки към DNS сървъра на доставчика. Можете да смените доставчика или да деактивирате DoH в настройките на мрежовото свързване. Освен DoH-сървърите на CIRA, можете да изберете и услугите на Cloudflare и NextDNS.
Предлаганите в Firefox доставчици на DoH се избират в съответствие с изискванията за доверителни DNS резолватори, съгласно които DNS операторът може да използва получените данни за резолвиране единствено за осигуряване на работата на услугата, не трябва да съхранява логовете повече от 24 часа, не може да предава данни на трети лица и е задължен да разкрива информация за методите на обработка на данни. Услугата също така трябва да поеме задължението да не цензурира, не филтрира, не се намесва и не блокира DNS трафик, с изключение на ситуациите, предвидени в законодателството.
Насочваме вниманието, че DoH може да бъде полезен за предотвратяване на изтичане на информация относно запитваните имена на хостове през DNS-сървърите на доставчиците, в борбата срещу MITM атаки и подмяна на DNS трафика (например, при свързване с публични Wi-Fi мрежи), за да се противопостави на блокирането на ниво DNS (DoH не може да замени VPN в областта на заобикалянето на блокировки, реализирани на ниво DPI) или за организиране на работа в случай на невъзможност за пряк достъп до DNS сървъри (например, при работа през прокси). Ако в нормални условия DNS запитвания директно се изпращат на определени в конфигурацията на системата DNS сървъри, то в случая с DoH запитването за определение IP адреси на хоста се инкапсулира в трафика HTTPS и се изпраща на HTTP сървър, на който резолверът обработва запитванията чрез Web API. Съществуващият стандарт DNSSEC използва криптиране единствено за аутентификация на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалност на запитванията.
Източник: opennet.ru
