Vývojáři Mozilla o provedení nového výzkumu v rámci přípravy na zavedení funkce dotazů na DNS přes HTTPS (DoH, DNS over HTTPS). Během realizace experimentu na systémech části uživatelů verzí Firefox v USA bude shromážděna statistika o používání systémů rodičovské kontroly a firemních resolverů. Účast v experimentu je možné odmítnout prostřednictvím stránky „about:studies“ (výzkum je uveden v seznamu jako „Detection Logic for DNS-over-HTTPS“).
Pro výzkum budou shromážděna anonymizovaná data, která zahrnují pouze počítadla, bez uvedení konkrétních adres a domén. Pro zjištění systémů rodičovské kontroly bude zaslán dotaz na určení názvu exampleadultsite.com a pokud se neshoduje s aktuálním IP, lze usoudit, že je aktivní blokování obsahu pro dospělé na úrovni DNS. Také budou hodnoceny IP adres vracené pro Google a YouTube, pro ověření jejich přesměrování na restrict.youtube.com, forcesafesearch.google.com a restrictmoderate.youtube.com.
Pro zjištění použití interních firemních resolverů budou ověřeny hostitele zjistitelných při otevírání webových stránek na přítomnost netypických domén nejvyšší úrovně (TLD) a jejich návrat na intranetové adresy. Motivem pro provedení experimentu byly obavy, že výchozí aktivace DNS-over-HTTPS může narušit fungování existujících systémů rodičovské kontroly prostřednictvím DNS a také vytvořit problémy pro uživatele firemních sítí, kteří používají DNS servery poskytující informace o interních doménách, které nejsou viditelné ve veřejné síti.
Připomínáme, že DoH může být užitečné pro vyloučení úniků informací o požadovaných názvech hostitelů přes DNS servery poskytovatelů, boj s MITM útoky a podvodnými DNS trafiky, proti blokaci na úrovni DNS nebo pro organizaci práce v případě nemožnosti přímého přístupu k DNS serverům (například při práci přes proxy). Pokud v běžné situaci DNS dotazy zasílají přímo na určité DNS servery definované v konfiguraci systému, tak v případě DoH je dotaz na určení IP adresy hostitele encapsulován do HTTPS traťi a zaslán na HTTP server, kde resolver zpracovává dotazy přes Web API. Stávající standard DNSSEC používá šifrování pouze pro autentizaci klienta a serveru, ale nechrání traffic před odposlechem a nezaručuje důvěrnost dotazů.
Pro povolení DoH v about:config je třeba změnit hodnotu proměnné network.trr.mode, která je podporována od verze Firefox 60. Hodnota 0 zcela vypíná DoH; 1 – používá DNS nebo DoH, v závislosti na tom, co je rychlejší; 2 – používá DoH jako výchozí, s DNS jako záložním variantou; 3 – používá pouze DoH; 4 – režim zrcadlení, ve kterém jsou DoH a DNS využívány současně. Ve výchozím nastavení se používá DNS server CloudFlare, ale to lze změnit přes parametr network.trr.uri, například může být nastaveno „https://dns.google.com/experimental“ nebo „https://9.9.9.9/dns-query“.
Zdroj: opennet.ru
