Разработчиците на Firefox за приключването на тестовете за поддръжка на DNS през HTTPS (DoH, DNS over HTTPS) и намерението в края на септември да включат тази технология по подразбиране за потребителите в САЩ. Включването ще се извършва постепенно, първо за няколко процента от потребителите, а при отсъствие на проблеми постепенно достигаща до 100%. След обхвата на САЩ ще бъде разгледана възможността за включване на DoH и в други държави.
Проведените в течение на годината тестове показаха надеждност и добро представяне на услугата, а също така позволиха да се идентифицират ситуации, при които DoH може да доведе до проблеми, и да се разработят решения за тяхното заобикаляне (например, разглежда се с оптимизация на трафика в мрежи за доставка на съдържание, родителски контрол и корпоративни вътрешни DNS-зони).
Важността на криптиране на DNS-трафика се оценява като основен фактор за защита на потребителите, затова DoH беше решено да бъде включено по подразбиране, но на първия етап само за потребителите в САЩ. След активирането на DoH на потребителя ще бъде показано предупреждение, което позволява при желание да се откаже от обращенията към централизирани DoH-сървъри DNS и да се върне към традиционната схема на изпращане на незашифровани запитвания към DNS-сървъра на доставчика (вместо разпределената инфраструктура на DNS резолвери, в DoH е използвана привръзка към определен DoH-сервис, който може да се разглежда като единна точка на отказ).
При активиране на DoH е възможно нарушение на работата на системите за родителски контрол и корпоративни мрежи, които използват достъпна само за вътрешната мрежа структура на имена DNS за преобразуване на интранет адреси и корпоративни хостове. За решаване на проблеми с подобни системи е добавена система за проверки, която автоматично изключва DoH. Проверките се извършват при всяко стартиране на браузъра или при определяне на промяна на подсет.
Автоматично възстановяване на използването на стандартния резолвер на операционната система е предвидено и при възникване на сривове при резолване чрез DoH (например, при нарушаване на мрежовата свързаност с DoH доставчика или при срив в неговата инфраструктура). Смисълът на подобни проверки е съмнителен, тъй като никой не пречи на нападателите, които контролират работата на резолвера или могат да се намесят в трафика, да симулират подобно поведение, за да деактивират шифроването на DNS трафика. Проблемът е решен чрез добавянето на опция „DoH always“ (по подразбиране не е активна) в настройките, при активирането на която автоматичното деактивиране не бъде приложено, което представлява разумен компромис.
За определяне на корпоративните резолвери се извършват проверки на атипични домейни от първо ниво (TLD) и връщане на интранет адреси от системния резолвер. За определяне на активирането на родителски контрол се извършва опит за резолвиране на името exampleadultsite.com и ако резултатът не съвпада с действителния IP, се счита, че блокировка на съдържанието за възрастни е активна на DNS нивото. Като признаци също така се проверяват IP адресите на Google и YouTube за подмяна на restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com. Допълнително Mozilla внедри единичен проверъчен хост , който интернет доставчиците и услугите за родителски контрол могат да използват като маркер за деактивиране на DoH (ако хостът не бъде определен, Firefox отключва DoH).
Работата чрез единен DoH-сервис също може да доведе до проблеми с оптимизацията на трафика в мрежите за доставка на съдържание, които извършват балансиране на трафика с помощта на DNS (DNS-сървър на CDN мрежата формулира отговор, взимайки предвид адреса на резолвера и предоставя най-близкия хост за получаване на съдържание). Изпращането на DNS-заявка от най-близкия до потребителя резолвер в такива CDN води до връщане на адреса на най-близкия хост до потребителя, но при изпращане на DNS-заявка от централизирания резолвер ще бъде предоставен адресът на хоста, най-близък до сървера на DNS-over-HTTPS. Практическото тестване показа, че използването на DNS-over-HTTP при работа с CDN почти не води до забавяния преди началото на предаването на съдържание (за бързи връзки забавянията не надвишават 10 милисекунди, а при бавни канали за комуникация дори е наблюдавано ускорение на работата). За предаване на резолвера на CDN данни за местоположението на клиента също беше разгледано използването на разширението EDNS Client Subnet.
Напомняме, че DoH може да бъде полезен за предотвратяване на изтичане на данни за искани имена на хостове през DNS сървърите на доставчиците, за справяне с MITM атаки и подмяна на DNS трафик, за противодействие на блокировките на ниво DNS или за организиране на работа в случай на невъзможност за директен достъп до DNS сървъри (например, при работа през прокси). В обикновени ситуации DNS запитванията се изпращат директно към определени в конфигурацията на системата DNS сървъри, докато при DoH искането за определяне на IP адреса на хоста е инкапсулирано в HTTPS трафик и се изпраща на HTTP сървър, на който резолверът обработва запитванията през Web API. Съществуващият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалност на запитванията.
За да активирате DoH в about:config, трябва да промените стойността на променливата network.trr.mode, която се поддържа от Firefox 60. Стойност 0 напълно деактивира DoH; 1 – използва DNS или DoH, в зависимост от това кое е по-бързо; 2 – по подразбиране се използва DoH, а DNS като резервен вариант; 3 – използва само DoH; 4 – режим на огледало, при който DoH и DNS се задействат паралелно. По подразбиране се използва DNS сървърът на CloudFlare, но може да се промени чрез параметъра network.trr.uri, например, можете да зададете «https://dns.google.com/experimental» или «https://9.9.9.9/dns-query».
Източник: opennet.ru
