Търговски асоциации , и , отстояващи интересите на интернет доставчиците, към Конгреса на САЩ с молба да обърне внимание на проблема с внедряването на «DNS през HTTPS» (DoH, DNS over HTTPS) и да поиска от Google детайлна информация за текущите и бъдещите планове за интеграция на DoH в своите продукти, както и ангажимент да не въвежда по подразбиране централизирана обработка на DNS запитвания в Chrome и Android без предишно обширно обсъждане с други представители на екосистемата и вземане под внимание възможните негативни последици.
Разбирайки общата полза от прилагането на криптиране за DNS трафика, асоциациите считат, че е недопустимо да се концентрира контролът върху преобразуването на имена в едни ръце и да се свърже този механизъм по подразбиране с централизирани DNS услуги. В частност, се твърди, че Google напредва към въвеждането на DoH по подразбиране в Android и Chrome, което при свързването с Google сървъри би нарушило децентрализирания характер на инфраструктурата на DNS и би довело до една точка на отказ.
Тъй като Chrome и Android доминират на пазара, в случай че Google наложи своите DoH сървъри, компанията ще получи възможността да контролира голяма част от потоковете на DNS запитвания на потребителите. Освен намаляване на надеждността на инфраструктурата, подобна стъпка ще предостави на Google необосновани предимства пред конкурентите, тъй като компанията ще получи допълнителна информация за действията на потребителите, която може да бъде използвана за проследяване на активността и за подбиране на релевантна реклама.
Приложението на DoH също може да наруши функционирането в области като системите за родителски контрол, достъпа до вътрешни пространства на имена в корпоративни системи, избора на маршрути в системи за оптимизация на доставката на съдържание и изпълнението на съдебни предписания за противодействие на разпространението на нелегално съдържание и експлоатацията на малолетни. Подменянето на DNS също често се използва за пренасочване на потребители към страница с информация за изчерпани средства на абоната или за вход в безжична мрежа.
Компания Google , че опасенията са напразни, тъй като тя не планира по подразбиране да включва DoH в Chrome и Android. В Chrome 78 експерименталното включване по подразбиране на DoH ще обхване само потребители, при които в настройките са указани DNS-провайдери, предлагащи възможност за използване на DoH като алтернатива на традиционните DNS. За тези, които използват предоставени от местния интернет доставчик DNS-сървъри, DNS запитванията ще продължат да се изпращат през системния резолвер. Тоест, действията на Google се свеждат до замяна с еквивалентна услуга на текущия доставчик за преминаване към защитен метод на работа с DNS. Експерименталното включване на DoH също е планирано в Firefox, но за разлика от Google, компанията Mozilla по подразбиране DNS-сървър CloudFlare. Този подход вече предизвика от страна на проекта OpenBSD.
Напомняме, че DoH може да бъде полезен за избягване на изтичания на информация относно исканите имена на хостове чрез DNS-сървъри на доставчици, борба с MITM-атаки и манипулиране на DNS-трафика (например, при свързване към публичен Wi-Fi), противодействие на блокировки на ниво DNS (DoH не може да замени VPN в областта на заобикалянето на блокировки, реализирани на ниво DPI) или за организиране на работа в случай на невъзможност за директно обръщение към DNS-сървъри (например, при работа през прокси).
Ако в обикновената ситуация DNS-заявките директно се изпращат на определени в конфигурацията на системата DNS-сървъри, то в случая на DoH запитването за определяне на IP-адреса на хоста е инкапсулирано в трафика на HTTPS и се изпраща на HTTP-сървър, където резолверът обработва запитванията през Web API. Съществуващият стандарт DNSSEC използва криптиране само за аутентификация на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалността на запитванията. В момента около подкрепят DoH.
Източник: opennet.ru
