Vývojáři Firefoxu ohledně výchozí aktivace režimu DNS přes HTTPS (DoH, DNS over HTTPS) pro uživatele v USA. Šifrování DNS provozu se považuje za zásadní faktor ochrany uživatelů. Od dnešního dne je DoH aktivováno ve výchozím nastavení pro všechny nové instalace provedené uživateli v USA. Stávající uživatelé v USA budou na DoH přepnuti během několika týdnů. V Evropské unii a dalších zemích zatím nemají plány DoH ve výchozím nastavení aktivovat. .
Po aktivaci DoH se uživateli zobrazí varování, které umožňuje v případě potřeby odmítnout používání centralizovaných DoH DNS serverů a vrátit se k tradičnímu zasílání nezašifrovaných dotazů na DNS server poskytovatele. Místo distribuované infrastruktury DNS resolverů se v DoH používá vázání na konkrétní DoH službu, která může být považována za jediný bod selhání. V současné době je nabízena spolupráce se dvěma DNS poskytovateli — CloudFlare (ve výchozím nastavení) a .
Změnit poskytovatele nebo vypnout DoH v nastavení síťového připojení. Například lze nastavit alternativní server DoH „https://dns.google/dns-query“ pro přístup na servery Google, „https://dns.quad9.net/dns-query“ — Quad9 a „https://doh.opendns.com/dns-query“ — OpenDNS. V about:config je také k dispozici nastavení network.trr.mode, díky kterému lze změnit režim fungování DoH: hodnota 0 úplně vypíná DoH; 1 — používá se DNS nebo DoH podle toho, co je rychlejší; 2 — používá se DoH jako výchozí a DNS jako záložní varianta; 3 — používá se pouze DoH; 4 — režim zrcadlení, ve kterém jsou DoH a DNS využívány paralelně.
Připomeňme, že DoH může být užitečný k vyloučení úniků informací o dotazovaných názvech hostitelů přes DNS servery poskytovatelů, k boji proti MITM útokům a podvržení DNS provozu (například při připojení k veřejnému Wi-Fi), k překonávání blokací na úrovni DNS (DoH nemůže nahradit VPN v oblasti obcházení blokací realizovaných na úrovni DPI) nebo k organizaci práce v případě nemožnosti přímého přístupu k DNS serverům (například při práci přes proxy). Pokud jsou v běžné situaci DNS dotazy přímo odesílány na určité DNS servery definované v konfiguraci systému, pak v případě DoH je dotaz na určení IP adresy hostitele zahuštěn do HTTPS provozu a odeslán na HTTP server, na kterém resolver zpracovává dotazy přes Web API. Stávající standard DNSSEC používá šifrování pouze pro autentizaci klienta a serveru, ale nechrání provoz před odposlechem a nezaručuje důvěrnost dotazů.
Pro výběr poskytovatelů DoH nabízených ve Firefoxu byla formulována k důvěryhodným DNS resolverům, podle nichž může DNS operátor používat získané údaje pro resolvování pouze k zajištění provozu služby, nesmí uchovávat záznamy déle než 24 hodin, nesmí předávat údaje třetím stranám a musí zveřejnit informace o metodách zpracování údajů. Služba musí také přislíbit, že nebude cenzurovat, filtrovat, zasahovat a blokovat DNS provoz, s výjimkou situací předepsaných legislativou.
Používat DoH je třeba opatrně. Například v Ruské federaci jsou IP adresy 104.16.248.249 a 104.16.249.249, spojené s předvoleným DoH serverem mozilla.cloudflare-dns.com ve Firefoxu, v na základě soudního příkazu z města Stavropolu ze dne 10.06.2013.
Použití DoH může také vést k problémům v oblastech, jako jsou systémy rodičovské kontroly, přístup k interním prostorům názvů v podnikových systémech, výběr tras v systémech optimalizace doručování obsahu a plnění soudních příkazů v oblasti boje proti šíření nezákonného obsahu a vykořisťování nezletilých. Pro obcházení těchto problémů byl implementován a otestován systém kontrol, který automaticky deaktivuje DoH za určitých podmínek.
Pro určení podnikových resolverů se provádějí kontroly netypických domén prvního stupně (TLD) a vracení intranetových adres systémovým resolverem. Pro určení zapnutí rodičovské kontroly se pokoušíme o rozlišení názvu exampleadultsite.com a pokud výsledek neodpovídá skutečné IP, považuje se za aktivní blokaci obsahu pro dospělé na úrovni DNS. Jako příznaky se také kontrolují IP adresy Google a YouTube na možnost jejich přesměrování na restrict.youtube.com, forcesafesearch.google.com a restrictmoderate.youtube.com. Tato ověření umožňují útočníkům, kteří mají kontrolu nad chodem resolveru nebo kteří mohou zasahovat do provozu, simulovat takovéto chování pro deaktivaci šifrování DNS provozu.
Práce přes jednotný DoH servis může také potenciálně vést k problémům s optimalizací provozu v sítích doručování obsahu, které provádějí vyrovnávání provozu pomocí DNS (DNS server CDN sítě vytváří odpověď s ohledem na adresu resolveru a poskytuje nejbližší hostitele pro získání obsahu). Odeslání DNS dotazu z nejbližšího resolveru k uživateli v takových CDN vede k vracení adresy nejbližšího hostitele k uživateli, ale při odeslání DNS dotazu z centralizovaného resolveru bude vrácena adresa hostitele, která je nejblíže serveru DNS-over-HTTPS. Testování v praxi ukázalo, že použití DNS-over-HTTP při používání CDN téměř nezpůsobovalo zpoždění před začátkem přenosu obsahu (pro rychlé připojení zpoždění nepřesahovala 10 milisekund, zatímco na pomalejších spojích bylo pozorováno dokonce zrychlení). Pro předání resolveru CDN informace o poloze klienta bylo také zváženo použití rozšíření EDNS Client Subnet.
Zdroj: opennet.ru
