🥇«Обича и не обича»: DNS over HTTPS

Разглеждаме мнения относно спецификата на DNS over HTTPS, която напоследък стана „ябълка на раздора“ сред интернет доставчиците и разработчиците на браузъри.

/ Unsplash / Стив Халама

Същността на споровете

Напоследък крупни медии и тематични платформи (включително Хабр), често пишат за протокола DNS over HTTPS (DoH). Той криптира заявките към DNS сървера и отговорите на тях. Този подход позволява да се скрият имената на хостовете, до които се обръща потребителя. От публикациите може да се заключи, че новият протокол (в IETF одобриха го през 2018 г.) раздели ИТ общността на два лагера.

Едната половина счита, че новият протокол ще повиши сигурността на интернет и го внедрява в своите приложения и услуги. Другата половина е убедена, че технологията само усложнява задачата на системните администратори. След това ще разгледаме аргументите на двете страни.

Как работи DoH

Преди да преминем към разговора по причините, поради които интернет доставчиците и другите участници на пазара са за или против DNS over HTTPS, кратко ще разгледаме принципите на работа.

В случай на DoH, заявката за определяне на IP адреса се инкапсулира в HTTPS трафика. След това тя преминава към HTTP сървера, където се обработва чрез API. Ето пример за заявка от RFC 8484 (стр.6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

По този начин DNS трафикът е скрит в HTTPS трафика. Клиентът и сървърът комуникират по стандартния порт 443. В резултат на това заявките към системата за домейни остават анонимни.

Защо не го харесват

Противниците на DNS over HTTPS казват, че новият протокол ще намали сигурността на връзките. Според казват Пол Вики (Paul Vixie), член на екипа разработчици на DNS, на администраторите ще им бъде по-трудно да блокират потенциално вредоносни сайтове. Обычните потребители при това губят възможността да настроят родителски контрол в браузърите.

Мнението на Пол споделят интернет доставчиците във Великобритания. Законодателството на страната ги задължава да блокират ресурси с забранено съдържание. Но поддръжката на DoH в браузърите усложнява задачата по филтриране на трафика. Сред критикуващите новия протокол също са Центърът за правителствени комуникации на Англия (GCHQ) и фонда Internet Watch Foundation (IWF), който води регистър на блокираните ресурси.

В нашия блог на Хабр:

Война с робо-звънците в САЩ — кой печели и защо

Британските телекоми ще компенсират абонатите си за прекъсване на връзката

Експертите отбелязват, че DNS over HTTPS може да стане заплаха за киберсигурността. В началото на юли специалисти по информационна безопасност от Netlab откриха първият вирус, който използва новия протокол за извършване на DDoS атаки — Godlua. Зловредният софтуер е използвал DoH за получаване на текстови записи (TXT) и извличане на URL адреси на управляващи сървъри.

Шифрованите DoH заявки не се разпознаваха от антивирусния софтуер. Специалистите по ИБ се опасяват, че след Godlua ще се появят и други зловредни софтуери, невидими за пасивния мониторинг на DNS.

Но не всички са против

В защита на DNS over HTTPS в блога си изрази инженерът от APNIC Джеф Хюстън (Geoff Houston). Според него новият протокол ще позволи да се борим с атаките по DNS hijacking, които напоследък стават все по-разпространени. Този факт потвърдпа януарският отчет на ИБ компанията FireEye. Разработката на протокола получи подкрепата и на големи ИТ компании.

Още в началото на миналата година DoH започнаха да тестват в Google. А преди месец компанията представи General Availability версия на своя DoH сервиз. В Google се надяват, че той ще повиши сигурността на личните данни в мрежата и ще предпази от MITM атаки.

Друг разработчик на браузъри — Mozilla — поддържа подкрепя DNS over HTTPS от лятото на миналата година. В същото време компанията активно популяризира новата технология в ИТ средите. За това асоциацията на интернет доставчиците Internet Services Providers Association (ISPA) дори номинира Mozilla за отличието „интернет злодей на годината“. В отговор представителите на компанията отбелязаха, че са разочаровани от нежеланието на телекомуникационните оператори да усъвършенстват остарялата интернет инфраструктура.

/ Unsplash / TETrebbien

В подкрепа на Mozilla високозвучни медии и някои интернет доставчици. В частност, в British Telecom смятат, че новият протокол няма да повлияе на филтрацията на съдържанието и ще подобри сигурността на британските потребители. Под натиска на обществеността ISPA беше принудена да оттегли номинацията за „злодей“.

Също така за внедряване на DNS over HTTPS се застъпиха облачните доставчици, например Cloudflare. Те вече предлагат DNS услуги на база новия протокол. Пълен списък на браузърите и клиентите, които поддържат DoH, можете да намерите на GitHub.

Във всеки случай, все още не можем да говорим за приключване на противопоставянето между двата лагера. ИТ специалистите прогнозират, че ако DNS over HTTPS все пак се наложи да стане част от масовия стек интернет технологии, то това ще отнеме не едно десетилетие.

За какво още пишем в корпоративния ни блог:

Как е изградена мрежата на интернет доставчика

Основни услуги в мрежите на интернет доставчика

Конвергенция и унификация – няколко задачи на едно устройство

Източник: habr.com