Разработчиците на Firefox за активиране по подразбиране на DNS over HTTPS (DoH) режим за потребителите в САЩ. Шифрирането на DNS трафика се счита за от съществено значение за защитата на потребителите. Започвайки от днешния ден, DoH е активиран по подразбиране за всички нови инсталации, направени от потребители в САЩ. Съществуващите потребители в САЩ ще бъдат преместени на DoH в рамките на няколко седмици. В Европейския съюз и в други държави все още не планират активиране на DoH по подразбиране. .
След активирането на DoH, на потребителя се показва предупреждение, което позволява ако желае, да се откаже от свързването с централизирани DoH DNS сървъри и да се върне към традиционната схема на изпращане на незашифровани запитвания към DNS сървъра на доставчика. Вместо разпределена инфраструктура на резолвери DNS, DoH използва свързване с определен DoH сервис, който може да бъде разгледан като единична точка на отказ. В момента се предлага работа чрез два DNS доставчика — CloudFlare (по подразбиране) и .
Сменете доставчика или деактивирайте DoH в настройките на мрежовото свързване. Например, можете да посочите алтернативен DoH сървър „https://dns.google/dns-query“ за свързване с Google сървъри, „https://dns.quad9.net/dns-query“ — за Quad9 и „https://doh.opendns.com/dns-query“ — за OpenDNS. В about:config също е предвидена настройка на network.trr.mode, чрез която можете да промените режима на работа на DoH: стойност 0 напълно деактивира DoH; 1 — използва DNS или DoH, в зависимост от това какво е по-бързо; 2 — използва DoH по подразбиране, а DNS като резервен вариант; 3 — използва само DoH; 4 — режим на огледало, при който DoH и DNS са активни паралелно.
Напомняме, че DoH може да бъде полезен за предотвратяване на изтичане на информация за заявените имена на хостовете чрез DNS-сървъри на доставчиците, борба с MITM атаки и подмяна на DNS трафика (например, при свързване с публични Wi-Fi мрежи), противодействие на блокировки на ниво DNS (DoH не може да замести VPN в областта на заобикалянето на блокировки, реализирани на ниво DPI) или за организиране на работа в случай на невъзможност за директен достъп до DNS-сървъри (например, при работа през прокси). Ако в обикновена ситуация DNS заявките се изпращат директно на определените в конфигурацията система DNS-сървъри, то в случай на DoH, заявката за определяне на IP адреса на хоста се инкапсулира в трафика на HTTPS и се изпраща на HTTP-сървър, на който резолверът обработва заявките чрез Web API. Съществуващият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалността на заявките.
За селекция на предлаганите в Firefox DoH доставчици са формулирани към доверителните DNS-резолвери, според които DNS-операторът може да използва получените данни за резолвинг единствено за осигуряване на функционирането на услугата, не трябва да съхранява логове повече от 24 часа, не може да предава данни на трети лица и е задължен да разкрива информация относно методите на обработка на данни. Услугата също така трябва да поеме ангажименти да не цензурира, да не филтрира, да не се намесва и да не блокира DNS-трафика, с изключение на случаите, предвидени в законодателството.
Приложете DoH с внимание. Например, в Русия IP адресите 104.16.248.249 и 104.16.249.249, свързани с предлагания по подразбиране в Firefox DoH сървър mozilla.cloudflare-dns.com, в по иск на съда в Ставропол от 10.06.2013 г.
Използването на DoH може да доведе до проблеми в области като родителски контрол, достъп до вътрешни имена в корпоративни системи, маршрутизация в системи за оптимизация на съдържание и изпълнение на съдебни заповеди, свързани с противодействие на разпространението на нелегално съдържание и експлоатация на непълнолетни. За избягване на подобни проблеми е внедрена и тествана система за проверки, която автоматично деактивира DoH при определени условия.
За определяне на корпоративните резолвери се извършват проверки на нетипични домейни на първо ниво (TLD) и се връщат интранет адреси от системния резолвер. За определяне на активността на родителския контрол се прави опит за резолвиране на името exampleadultsite.com и ако резултатът не съвпада с действителния IP адрес, се счита, че блокировката на съдържание за възрастни на ниво DNS е активна. Като допълнителни индикатори се проверяват IP адресите на Google и YouTube за подмяна на restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com. Тези проверки позволяват на потенциални нападатели, контролиращи резолвера или способни да намалят трафика, да симулират подобно поведение за деактивиране на шифроването на DNS трафика.
Работата чрез единен DoH-сервис също може да доведе до проблеми с оптимизацията на трафика в мрежите за доставка на съдържание, които извършват балансиране на трафика с помощта на DNS (DNS-сървър на CDN мрежата формулира отговор, взимайки предвид адреса на резолвера и предоставя най-близкия хост за получаване на съдържание). Изпращането на DNS-заявка от най-близкия до потребителя резолвер в такива CDN води до връщане на адреса на най-близкия хост до потребителя, но при изпращане на DNS-заявка от централизирания резолвер ще бъде предоставен адресът на хоста, най-близък до сървера на DNS-over-HTTPS. Практическото тестване показа, че използването на DNS-over-HTTP при работа с CDN почти не води до забавяния преди началото на предаването на съдържание (за бързи връзки забавянията не надвишават 10 милисекунди, а при бавни канали за комуникация дори е наблюдавано ускорение на работата). За предаване на резолвера на CDN данни за местоположението на клиента също беше разгледано използването на разширението EDNS Client Subnet.
Източник: opennet.ru
