Vývojáři Firefoxu o dokončení testování podpory DNS přes HTTPS (DoH, DNS over HTTPS) a záměru na konci září tuto technologii standardně aktivovat pro uživatele ve Spojených státech. Aktivace bude probíhat postupně, nejprve pro několik procent uživatelů, a v případě absence problémů se postupně rozšíří na 100 %. Po pokrytí USA bude zvážena možnost aktivace DoH i v dalších zemích.
Testy prováděné během roku ukázaly spolehlivost a dobrou výkonnost služby, a také umožnily identifikovat některé situace, kdy může DoH způsobit problémy, a vyvinout řešení pro jejich obcházení (například s optimalizací provozu v sítích dodávky obsahu, rodičovskou kontrolou a firemními interními DNS zónami). s optimalizací provozu v sítích pro doručování obsahu, rodičovskou kontrolou a firemními interními DNS zónami).
Důležitost šifrování DNS provozu je hodnocena jako zásadní faktor ochrany uživatelů, proto bylo rozhodnuto o standardním zapnutí DoH, ale v prvním kroku pouze pro uživatele ve Spojených státech. Po aktivaci DoH se uživatelům zobrazí upozornění, které jim umožní v případě zájmu vzdát se volání k centralizovaným DoH DNS serverům a vrátit se k tradičnímu způsobu odesílání nešifrovaných dotazů na DNS server poskytovatele (místo distribuované infrastruktury resolverů DNS, v DoH je použita vazba na konkrétní DoH službu, která může být považována za jediný bod selhání).
Při aktivaci DoH může dojít k problémům se systémem rodičovské kontroly a firemními sítěmi, které využívají strukturu názvů DNS dostupnou pouze pro interní síť k převodu intranetových adres a firemních hostitelů. Pro řešení problémů s těmito systémy byla přidána kontrolní systém, který automaticky zakáže DoH. Kontroly se provádějí při každém spuštění prohlížeče nebo při zjištění změny podsítě.
Automatické přepnutí na používání standardního resolveru operačního systému je také zajištěno při výskytu chyb při řešení přes DoH (například při narušení síťové dostupnosti s poskytovatelem DoH nebo při selhání jeho infrastruktury). Smysl takových kontrol je pochybně, protože nikdo nebrání útočníkům, kteří kontrolují práci resolveru nebo mohou zasahovat do provozu, simulovat podobné chování k vypnutí šifrování DNS provozu. Problém je vyřešen přidáním položky „DoH vždy“ do nastavení (ve výchozím nastavení není aktivní), při jejímž nastavení se automatické vypnutí nepoužívá, což je rozumný kompromis.
Pro určení firemních resolverů se provádějí kontroly netypických domén prvního stupně (TLD) a vracení intranetových adres systémovým resolverem. Pro určení aktivace rodičovské kontroly se provádí pokus o rozlišení názvu exampleadultsite.com a pokud se výsledek neshoduje s aktuální IP adresou, předpokládá se, že je aktivována blokace obsahu pro dospělé na úrovni DNS. Jako známky se také kontrolují IP adresy Google a YouTube na možnost jejich nahrazení na restrict.youtube.com, forcesafesearch.google.com a restrictmoderate.youtube.com. Dále Mozilla zavést jednotný kontrolní host , který mohou používat internetoví poskytovatelé a služby rodičovské kontroly jako označení pro vypnutí DoH (pokud host není určen, Firefox DoH vypne).
Práce přes jednotný DoH servis může také potenciálně vést k problémům s optimalizací provozu v sítích doručování obsahu, které provádějí vyrovnávání provozu pomocí DNS (DNS server CDN sítě vytváří odpověď s ohledem na adresu resolveru a poskytuje nejbližší hostitele pro získání obsahu). Odeslání DNS dotazu z nejbližšího resolveru k uživateli v takových CDN vede k vracení adresy nejbližšího hostitele k uživateli, ale při odeslání DNS dotazu z centralizovaného resolveru bude vrácena adresa hostitele, která je nejblíže serveru DNS-over-HTTPS. Testování v praxi ukázalo, že použití DNS-over-HTTP při používání CDN téměř nezpůsobovalo zpoždění před začátkem přenosu obsahu (pro rychlé připojení zpoždění nepřesahovala 10 milisekund, zatímco na pomalejších spojích bylo pozorováno dokonce zrychlení). Pro předání resolveru CDN informace o poloze klienta bylo také zváženo použití rozšíření EDNS Client Subnet.
Připomínáme, že DoH může být užitečné pro vyloučení úniků informací o požadovaných názvech hostitelů přes DNS servery poskytovatelů, boj s MITM útoky a podvodnými DNS trafiky, proti blokaci na úrovni DNS nebo pro organizaci práce v případě nemožnosti přímého přístupu k DNS serverům (například při práci přes proxy). Pokud v běžné situaci DNS dotazy zasílají přímo na určité DNS servery definované v konfiguraci systému, tak v případě DoH je dotaz na určení IP adresy hostitele encapsulován do HTTPS traťi a zaslán na HTTP server, kde resolver zpracovává dotazy přes Web API. Stávající standard DNSSEC používá šifrování pouze pro autentizaci klienta a serveru, ale nechrání traffic před odposlechem a nezaručuje důvěrnost dotazů.
Pro povolení DoH v about:config je třeba změnit hodnotu proměnné network.trr.mode, která je podporována od verze Firefox 60. Hodnota 0 zcela vypíná DoH; 1 – používá DNS nebo DoH, v závislosti na tom, co je rychlejší; 2 – používá DoH jako výchozí, s DNS jako záložním variantou; 3 – používá pouze DoH; 4 – režim zrcadlení, ve kterém jsou DoH a DNS využívány současně. Ve výchozím nastavení se používá DNS server CloudFlare, ale to lze změnit přes parametr network.trr.uri, například může být nastaveno „https://dns.google.com/experimental“ nebo „https://9.9.9.9/dns-query“.
Zdroj: opennet.ru
