Разработчиците на DNS-сървъра BIND съобщиха за добавяне в експерименталната версия 9.17 на имплементация на сървърна поддръжка на технологии "DNS през HTTPS" (DoH, DNS over HTTPS) и DNS през TLS (DoT, DNS over TLS), както и механизъм XFR-over-TLS за безопасна предаване на съдържанието на DNS-зони между сървъри. DoH е достъпен за тестване в версия 9.17.10, а поддръжката на DoT съществува от версия 9.17.7. След стабилизация поддръжката на DoT и DoH ще бъде пренесена в стабилната версия 9.16.
Имплементацията на протокола HTTP/2, използван в DoH, се основава на приложението на библиотеката nghttp2, която е включена в списъка на зависимостите за изграждане (в бъдеще библиотеката ще бъде прехвърлена в списъка на ненадлежителните зависимости). Поддържат се както криптирани (TLS), така и некриптирани връзки по HTTP/2. При съответни настройки един процес named сега може да обслужва не само традиционни DNS-запитвания, но и запитвания, изпратени с помощта на DoH (DNS-over-HTTPS) и DoT (DNS-over-TLS). Поддръжката на HTTPS от страна на клиента (dig) все още не е реализирана. Поддръжката на XFR-over-TLS е достъпна както за входящи, така и за изходящи запитвания.
Обработката на запитвания с помощта на DoH и DoT се активира чрез добавяне на опциите http и tls в директивата listen-on. За поддръжка на некриптиран DNS-over-HTTP в настройките трябва да се посочи «tls none». Ключовете се определят в секция «tls». Стандартните мрежови портове 853 за DoT, 443 за DoH и 80 за DNS-over-HTTP могат да бъдат преназначени чрез параметрите tls-port, https-port и http-port. Например: tls local-tls { key-file "/path/to/priv_key.pem"; cert-file "/path/to/cert_chain.pem"; }; http local-http-server { endpoints { "/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }
От особеностите на имплементацията на DoH в BIND се отбелязва интеграция като общ транспорт, който може да се използва не само за обработка на запитвания от клиенти към резолвера, но и при обмен на данни между сървъри, при прехвърляне на зони от авторитетен DNS-сървър и при обработка на всякакви запитвания, поддържани от други транспорти на DNS.
Другата особеност е възможността за прехвърляне на шифровите операции за TLS на друг сървър. Това може да се наложи в ситуации, в които TLS сертификатите се съхраняват на друга система (например, в инфраструктура с уеб сървъри) и се поддържат от друг екип. Поддръжката на незашифрован DNS-over-HTTP е реализирана за улесняване на отстраняването на проблеми и като слой за пробиване в вътрешната мрежа, на базата на който на друг сървър може да се осъществи шифриране. За генериране на TLS трафик на външния сървър може да се използва nginx, по аналогия с това, как се организира обвивката на HTTPS за сайтове.
Напомняме, че DNS-over-HTTPS може да бъде полезен за предотвратяване на изтичане на информация за заявените имена на хостове чрез DNS-сървъри на доставчици, за борба с MITM атаки и подмяна на DNS трафик (например, при свързване към публични Wi-Fi), срещу блокировки на ниво DNS (DNS-over-HTTPS не може да замени в областта на заобикалянето на блокировки, реализирани на ниво DPI) или за организиране на работа в случай на невъзможност за директен достъп до DNS-сървъри (например, при работа през прокси). Ако в нормалната ситуация DNS запитванията се изпращат директно на определените в конфигурацията на системата DNS сървъри, то при DNS-over-HTTPS запитването за определяне на хост се инкапсулира в HTTPS трафик и се изпраща на HTTP сървър, на който резолверът обработва запитванията чрез Web API. VPN На изнесения сървър за генериране на TLS трафик може да се използва nginx, по аналогия с начините, по които се организира обвивката HTTPS за сайтове. IP адреси Хостът се инкапсулира в трафик HTTPS и се изпраща на HTTP сървър, на който резолверът обработва запитванията чрез Web API.
«DNS over TLS» се различава от «DNS over HTTPS» чрез използването на стандартния DNS протокол (обикновено се използва мрежовият порт 853), завит в криптиран канал за комуникация, организиран с помощта на протокола TLS с проверка на валидността на хоста чрез TLS/SSL сертификати, заверени от удостоверителен център. Съществуващият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалността на запитванията.
Източник: opennet.ru
