Американските асоциации на доставчици се противопоставиха на централизацията при внедряването на DNS-over-HTTPS

Търговски асоциации NCTA, CTI разширение и USTelecom, защитавайки интересите на интернет доставчиците, обърна се до Конгреса на САЩ с молба да обърне внимание на проблема с внедряването на „DNS през HTTPS“ (DoH, DNS през HTTPS) и да изиска от Google подробна информация за настоящи и бъдещи планове за активиране на DoH в своите продукти, както и получите ангажимент да не активирате централизирана обработка по подразбиране на DNS заявки в Chrome и Android без предварително пълно обсъждане с други членове на екосистемата и като вземете предвид възможните отрицателни последици.

Разбирайки цялостната полза от използването на криптиране за DNS трафик, асоциациите смятат за неприемливо да концентрират контрола върху разрешаването на имената в една ръка и да свързват този механизъм по подразбиране с централизирани DNS услуги. По-специално се твърди, че Google се движи към въвеждането на DoH по подразбиране в Android и Chrome, което, ако бъде свързано със сървърите на Google, би нарушило децентрализираната природа на DNS инфраструктурата и би създало единична точка на повреда.

Тъй като Chrome и Android доминират на пазара, ако наложат своите DoH сървъри, Google ще може да контролира по-голямата част от потоците на потребителски DNS заявки. В допълнение към намаляването на надеждността на инфраструктурата, подобен ход също би дал на Google несправедливо предимство пред конкурентите, тъй като компанията ще получи допълнителна информация за действията на потребителите, която може да се използва за проследяване на потребителската активност и избор на подходяща реклама.

DoH може също да наруши области като системи за родителски контрол, достъп до вътрешни пространства от имена в корпоративни системи, маршрутизиране в системи за оптимизиране на доставката на съдържание и спазване на съдебни разпореждания срещу разпространението на незаконно съдържание и експлоатацията на непълнолетни. DNS spoofing също често се използва за пренасочване на потребителите към страница с информация за края на средствата при абоната или за влизане в безжична мрежа.

Google Той заяви,, че страховете са неоснователни, тъй като няма да активира DoH по подразбиране в Chrome и Android. Предназначен В Chrome 78 DoH ще бъде експериментално активиран по подразбиране само за потребители, чиито настройки са конфигурирани с DNS доставчици, които предоставят опция за използване на DoH като алтернатива на традиционния DNS. За тези, които използват DNS сървъри, предоставени от местен ISP, DNS заявките ще продължат да се изпращат през системния резолвер. Тези. Действията на Google се ограничават до замяна на текущия доставчик с еквивалентна услуга, за да премине към защитен метод за работа с DNS. Експериментално включване на DoH също е планирано за Firefox, но за разлика от Google, Mozilla възнамерява да се използва DNS сървърът по подразбиране е CloudFlare. Този подход вече предизвика критика от проекта OpenBSD.

Нека припомним, че DoH може да бъде полезен за предотвратяване на изтичане на информация за исканите имена на хостове през DNS сървърите на доставчиците, борба с MITM атаки и подправяне на DNS трафик (например при свързване към публичен Wi-Fi), противодействие на блокирането в DNS ниво (DoH не може да замени VPN в областта на заобикаляне на блокиране, реализирано на ниво DPI) или за организиране на работа, ако е невъзможно да се осъществи директен достъп до DNS сървъри (например при работа чрез прокси).

Ако в нормална ситуация DNS заявките се изпращат директно до DNS сървъри, дефинирани в системната конфигурация, тогава в случай на DoH заявката за определяне на IP адреса на хоста се капсулира в HTTPS трафик и се изпраща до HTTP сървъра, където резолверът обработва заявки чрез уеб API. Съществуващият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира поверителността на заявките. В момента около 30 публични DNS сървъра поддържа DoH.

Източник: opennet.ru