DNS-over-HTTPS е активиран по подразбиране във Firefox за потребители в САЩ

Разработчици на Firefox съобщи относно активирането на режим DNS през HTTPS (DoH, DNS през HTTPS) по подразбиране за потребители в САЩ. Криптирането на DNS трафик се счита за фундаментално важен фактор за защита на потребителите. От днес всички нови инсталации от потребители в САЩ ще имат DoH активиран по подразбиране. Планирано е съществуващите потребители в САЩ да преминат към DoH в рамките на няколко седмици. В Европейския съюз и други страни активирайте DoH по подразбиране засега не планирай.

След активиране на DoH, на потребителя се показва предупреждение, което позволява, ако желаете, да откаже да се свърже с централизирани DoH DNS сървъри и да се върне към традиционната схема за изпращане на некриптирани заявки към DNS сървъра на доставчика. Вместо разпределена инфраструктура от DNS резолвери, DoH използва обвързване към конкретна DoH услуга, която може да се счита за единична точка на повреда. В момента работата се предлага чрез два DNS доставчика - CloudFlare (по подразбиране) и NextDNS.

Сменете доставчика или деактивирайте DoH може да в настройките на мрежовата връзка. Например, можете да посочите алтернативен DoH сървър „https://dns.google/dns-query“ за достъп до сървърите на Google, „https://dns.quad9.net/dns-query“ - Quad9 и „https:/ /doh .opendns.com/dns-query" - OpenDNS. About:config предоставя и настройката network.trr.mode, чрез която можете да промените режима на работа на DoH: стойност 0 напълно деактивира DoH; 1 - Използва се DNS или DoH, което от двете е по-бързо; 2 - DoH се използва по подразбиране, а DNS се използва като резервна опция; 3 - използва се само DoH; 4 - огледален режим, при който DoH и DNS се използват паралелно.

Спомнете си, че DoH може да бъде полезно за предотвратяване на изтичане на информация за заявени имена на хостове през DNS сървърите на доставчиците, борба с MITM атаки и подправяне на DNS трафик (например при свързване към обществен Wi-Fi), противодействие на блокирането на ниво DNS (DoH не може да замени VPN в областта на заобикалянето на блокиране, реализирано на ниво DPI) или за организиране на работа в случай, че е невъзможно да се осъществи директен достъп до DNS сървъри (например при работа чрез прокси). Докато в нормална ситуация DNS заявките се изпращат директно до DNS сървърите, дефинирани в системната конфигурация, в случай на DoH заявката за определяне на IP адреса на хоста се капсулира в HTTPS трафик и се изпраща до HTTP сървъра, на който резолверът обработва заявки чрез уеб API. Настоящият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира поверителността на заявките.

За да изберете доставчиците на DoH, предлагани във Firefox, изисквания към надеждни DNS резолвери, според които DNS операторът може да използва данните, получени за резолюция, само за да осигури работата на услугата, не трябва да съхранява регистрационни файлове за повече от 24 часа, не може да прехвърля данни на трети страни и е длъжен да разкрива информация за методи за обработка на данни. Услугата също трябва да се съгласи да не цензурира, филтрира, намесва или блокира DNS трафика, освен в ситуации, предвидени от закона.

DoH трябва да се използва с повишено внимание. Например в Руската федерация IP адреси 104.16.248.249 и 104.16.249.249, свързани с DoH сървъра по подразбиране mozilla.cloudflare-dns.com, предлаган във Firefox, изброени в списъците блокиране Роскомнадзор по искане на Ставрополския съд от 10.06.2013 юни XNUMX г.

DoH може също да причини проблеми в области като системи за родителски контрол, достъп до вътрешни пространства от имена в корпоративни системи, избор на маршрут в системи за оптимизация на доставка на съдържание и спазване на съдебни разпореждания в областта на борбата с разпространението на незаконно съдържание и експлоатацията на непълнолетни. За да се заобиколят подобни проблеми, е внедрена и тествана система за проверка, която автоматично деактивира DoH при определени условия.

За идентифициране на корпоративни резолвери се проверяват нетипични домейни от първо ниво (TLD) и системният резолвер връща интранет адреси. За да се определи дали родителският контрол е активиран, се прави опит за разрешаване на името exampleadultsite.com и ако резултатът не съвпада с действителния IP, се счита, че блокирането на съдържание за възрастни е активно на ниво DNS. IP адресите на Google и YouTube също се проверяват като знаци, за да се види дали са заменени от restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com. Тези проверки позволяват на атакуващите, които контролират работата на резолвера или са способни да се намесват в трафика, да симулират такова поведение, за да деактивират криптирането на DNS трафика.

Работата чрез една DoH услуга също може потенциално да доведе до проблеми с оптимизирането на трафика в мрежи за доставка на съдържание, които извършват балансиране на трафика с помощта на DNS (DNS сървърът на CDN мрежата генерира отговор, като взема предвид адреса на резолвера и издава най-близкия хост за получаване на съдържание). Изпращането на DNS заявка от резолвера, който е най-близо до потребителя, в такива CDN връща адреса на хоста, който е най-близо до потребителя, но изпращането на DNS заявка от централизирания резолвер ще върне адреса на хоста, който е най-близо до DNS-over-HTTPS сървъра. Тестването на практика показа, че използването на DNS-over-HTTP при използване на CDN практически не води до забавяне преди началото на трансфера на съдържание (за бързи връзки забавянията не надвишават 10 милисекунди и дори се наблюдава ускорение при бавни комуникационни канали ). Също така обмисляхме използването на разширението за клиентска подмрежа на EDNS, за да предадем информацията за местоположението на клиента към CDN резолвера.

Източник: opennet.ru