Následně společnost Google oznámila záměr provést experiment na ověření implementace "DNS přes HTTPS" (DoH, DNS over HTTPS) pro prohlížeč Chrome. V vydání Chrome 78, které je plánováno na 22. října, bude určitá skupina uživatelů automaticky na používání DoH. Do experimentu zapojí pouze uživatele, jejichž systémová nastavení obsahují určité DNS poskytovatele, kteří jsou uznáni jako kompatibilní s DoH.
Na whitelist DNS poskytovatelů byly zařazeny Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) a DNS.SB (185.222.222.222, 185.184.222.222). Pokud bude v uživatelských nastaveních DNS uveden některý z výše zmíněných DNS serverů, DoH bude v Chromu aktivován automaticky. Pro ty, kteří používají DNS servery poskytované místním internetovým poskytovatelem, zůstanou věci beze změny a pro dotazy DNS se i nadále použije systémový resolver.
Důležitým rozdílem ve srovnání s implementací DoH ve Firefoxu, kde se automatické zapnutí DoH již koncem září, je absence vazby na jeden poskytovatel DoH. Zatímco ve Firefoxu je výchozí DNS server CloudFlare, v Chromu bude pouze aktualizován způsob práce s DNS na ekvivalentní službu, bez změny DNS poskytovatele. Například, pokud má uživatel v systémových nastaveních uveden DNS 8.8.8.8, bude v Chromu DoH služba Google ("https://dns.google.com/dns-query"), pokud je DNS – 1.1.1.1, pak DoH služba Cloudflare ("https://cloudflare-dns.com/dns-query") a
Pokud si to uživatel přeje, může DoH aktivovat nebo deaktivovat pomocí nastavení "chrome://flags/#dns-over-https". Podporovány jsou tři režimy práce: "secure", "automatic" a "off". V režimu "secure" jsou hostitelé určeni pouze na základě dříve uložených bezpečných hodnot (získaných prostřednictvím zabezpečeného připojení) a dotazů přes DoH, návrat na běžné DNS není povolen. V režimu "automatic" je-li DoH a zabezpečená cache nedostupná, povoluje se získání dat z nezabezpečené cache a dotazování přes tradiční DNS. V režimu "off" se nejprve kontroluje běžná cache a pokud data nejsou, dotaz se odešle prostřednictvím systémového DNS. Režim se nastavuje pomocí kDnsOverHttpsMode, a šablona porovnání serverů pomocí kDnsOverHttpsTemplates.
Experiment s aktivací DoH bude proveden na všech podporovaných platformách v Chromu s výjimkou Linuxu a iOS, a to kvůli složitosti analýzy nastavení resolveru a omezenému přístupu k systémovým nastavením DNS. V případě, že po aktivaci DoH dojde k problémům při odesílání požadavků na server DoH (například kvůli jeho blokaci, poruše síťového připojení nebo výpadku), prohlížeč automaticky vrátí systémová nastavení DNS.
Cílem experimentu je finální ověření implementace DoH a zkoumání vlivu použití DoH na výkon. Je třeba poznamenat, že podpora DoH byla v kódové základně Chromu zavedena již v únoru, avšak pro nastavení a aktivaci DoH bylo třeba запуск Chrome со специальным флагом и неочевидным набором опций.
Připomínáme, že DoH může být užitečný pro vyloučení úniků informací o požadovaných názvech hostitelů přes DNS servery poskytovatelů, boj proti MITM útokům a podvrhům DNS provozu (například při připojení k veřejným Wi-Fi), čelení blokacím na úrovni DNS (DoH nemůže nahradit VPN z hlediska obcházení blokací realizovaných na úrovni DPI) nebo pro zajištění funkčnosti v případě nemožnosti přímého přístupu k DNS serverům (například při práci přes proxy). V obvyklé situaci jsou DNS dotazy přímo odesílány na konkrétní DNS servery definované v konfiguraci systému, zatímco v případě DoH je žádost o určení IP adresy hostitele encapsulována v HTTPS provozu a odeslána na HTTP server, na kterém resolver zpracovává požadavky prostřednictvím Web API. Stávající standard DNSSEC používá šifrování pouze pro autentizaci klienta a serveru, ale nechrání provoz před odposlechem a nezaručuje důvěrnost dotazů.
Zdroj: opennet.ru
