Разглеждаме мнения относно спецификата на DNS over HTTPS, която напоследък стана „ябълка на раздора“ сред интернет доставчиците и разработчиците на браузъри.
/ Unsplash /
Същността на споровете
Напоследък и (включително Хабр), често пишат за протокола DNS over HTTPS (DoH). Той криптира заявките към DNS сървера и отговорите на тях. Този подход позволява да се скрият имената на хостовете, до които се обръща потребителя. От публикациите може да се заключи, че новият протокол (в IETF през 2018 г.) раздели ИТ общността на два лагера.
Едната половина счита, че новият протокол ще повиши сигурността на интернет и го внедрява в своите приложения и услуги. Другата половина е убедена, че технологията само усложнява задачата на системните администратори. След това ще разгледаме аргументите на двете страни.
Как работи DoH
Преди да преминем към разговора по причините, поради които интернет доставчиците и другите участници на пазара са за или против DNS over HTTPS, кратко ще разгледаме принципите на работа.
В случай на DoH, заявката за определяне на IP адреса се инкапсулира в HTTPS трафика. След това тя преминава към HTTP сървера, където се обработва чрез API. Ето пример за заявка от RFC 8484 ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
По този начин DNS трафикът е скрит в HTTPS трафика. Клиентът и сървърът комуникират по стандартния порт 443. В резултат на това заявките към системата за домейни остават анонимни.
Защо не го харесват
Противниците на DNS over HTTPS , че новият протокол ще намали сигурността на връзките. Според Пол Вики (Paul Vixie), член на екипа разработчици на DNS, на администраторите ще им бъде по-трудно да блокират потенциално вредоносни сайтове. Обычните потребители при това губят възможността да настроят родителски контрол в браузърите.
Мнението на Пол споделят интернет доставчиците във Великобритания. Законодателството на страната да блокират ресурси с забранено съдържание. Но поддръжката на DoH в браузърите усложнява задачата по филтриране на трафика. Сред критикуващите новия протокол също са Центърът за правителствени комуникации на Англия () и фонда Internet Watch Foundation (), който води регистър на блокираните ресурси.
В нашия блог на Хабр:
Експертите отбелязват, че DNS over HTTPS може да стане заплаха за киберсигурността. В началото на юли специалисти по информационна безопасност от Netlab първият вирус, който използва новия протокол за извършване на DDoS атаки — . Зловредният софтуер е използвал DoH за получаване на текстови записи (TXT) и извличане на URL адреси на управляващи сървъри.
Шифрованите DoH заявки не се разпознаваха от антивирусния софтуер. Специалистите по ИБ , че след Godlua ще се появят и други зловредни софтуери, невидими за пасивния мониторинг на DNS.
Но не всички са против
В защита на DNS over HTTPS в блога си инженерът от APNIC Джеф Хюстън (Geoff Houston). Според него новият протокол ще позволи да се борим с атаките по DNS hijacking, които напоследък стават все по-разпространени. Този факт януарският отчет на ИБ компанията FireEye. Разработката на протокола получи подкрепата и на големи ИТ компании.
Още в началото на миналата година DoH започнаха да тестват в Google. А преди месец компанията General Availability версия на своя DoH сервиз. В Google , че той ще повиши сигурността на личните данни в мрежата и ще предпази от MITM атаки.
Друг разработчик на браузъри — Mozilla — подкрепя DNS over HTTPS от лятото на миналата година. В същото време компанията активно популяризира новата технология в ИТ средите. За това асоциацията на интернет доставчиците Internet Services Providers Association (ISPA) Mozilla за отличието „интернет злодей на годината“. В отговор представителите на компанията , че са разочаровани от нежеланието на телекомуникационните оператори да усъвършенстват остарялата интернет инфраструктура.
/ Unsplash /
В подкрепа на Mozilla и някои интернет доставчици. В частност, в British Telecom , че новият протокол няма да повлияе на филтрацията на съдържанието и ще подобри сигурността на британските потребители. Под натиска на обществеността ISPA номинацията за „злодей“.
Също така за внедряване на DNS over HTTPS се застъпиха облачните доставчици, например . Те вече предлагат DNS услуги на база новия протокол. Пълен списък на браузърите и клиентите, които поддържат DoH, можете да намерите на .
Във всеки случай, все още не можем да говорим за приключване на противопоставянето между двата лагера. ИТ специалистите прогнозират, че ако DNS over HTTPS все пак се наложи да стане част от масовия стек интернет технологии, то това ще отнеме .
За какво още пишем в корпоративния ни блог:
Източник: habr.com
