Разработчиците на Mozilla извършват ново проучване в рамките на подготовката за внедряване на функция за достъп до DNS през HTTPS (DoH, DNS over HTTPS). В хода на експеримента ще бъдат събрани статистически данни за използването на системи за родителски контрол и корпоративни резолвери на някои потребители на Firefox от САЩ. Отказът от участие в експеримента е възможен чрез страницата «about:studies» (изследването е представено в списъка като «Detection Logic for DNS-over-HTTPS»).
За проучването ще бъдат събрани анонимизирани данни, включващи само бройчиците, без обозначаване на конкретни адреси и домейни. За идентифициране на системи за родителски контрол ще бъде изпратено запитване за определяне на името exampleadultsite.com и ако то не съвпада с действителния IP адрес, може да се счита, че блокирането на съдържание за възрастни е активно на ниво DNS. Ще бъдат оценени IP адреси резултатите за Google и YouTube, за проверка на тяхната подмяна на restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com.
За откриване на използването на вътрешни корпоративни резолвери, имената на хостовете, определени при отворените сайтове, ще бъдат проверени за употреба на нетипични домейни от първо ниво (TLD) и за връщане на интранет адреси. Мотивът за провеждане на експеримента са опасенията, че по подразбиране активирането на DNS-over-HTTPS може да наруши функционирането на системите за родителски контрол, основани на DNS, и да създаде проблеми за потребителите на корпоративни мрежи, които използват DNS-сървъри, предоставящи информация за вътрешни домейни, невидими във външната мрежа.
Напомняме, че DoH може да бъде полезен за предотвратяване на изтичане на данни за искани имена на хостове през DNS сървърите на доставчиците, за справяне с MITM атаки и подмяна на DNS трафик, за противодействие на блокировките на ниво DNS или за организиране на работа в случай на невъзможност за директен достъп до DNS сървъри (например, при работа през прокси). В обикновени ситуации DNS запитванията се изпращат директно към определени в конфигурацията на системата DNS сървъри, докато при DoH искането за определяне на IP адреса на хоста е инкапсулирано в HTTPS трафик и се изпраща на HTTP сървър, на който резолверът обработва запитванията през Web API. Съществуващият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалност на запитванията.
За да активирате DoH в about:config, трябва да промените стойността на променливата network.trr.mode, която се поддържа от Firefox 60. Стойност 0 напълно деактивира DoH; 1 – използва DNS или DoH, в зависимост от това кое е по-бързо; 2 – по подразбиране се използва DoH, а DNS като резервен вариант; 3 – използва само DoH; 4 – режим на огледало, при който DoH и DNS се задействат паралелно. По подразбиране се използва DNS сървърът на CloudFlare, но може да се промени чрез параметъра network.trr.uri, например, можете да зададете «https://dns.google.com/experimental» или «https://9.9.9.9/dns-query».
Източник: opennet.ru
