Společnost Mozilla dohodu s třetím poskytovatelem DNS přes HTTPS (DoH, DNS over HTTPS) pro Firefox. Kromě dříve nabízených DNS serverů CloudFlare ("https://1.1.1.1/dns-query") a (), do nastavení bude zahrnuta také služba Comcast (https://doh.xfinity.com/dns-query). Aktivovat DoH a vybrat v nastavení síťového připojení.
Připomínáme, že ve Firefoxu 77 byla zapnuta testovací kontrola DNS over HTTPS s odesláním 10 zkušebních dotazů každým klientem a automatickým výběrem poskytovatele DoH. Tuto kontrolu bylo nutné vypnout ve verzi , protože se změnila v něco jako DDoS útok na službu NextDNS, která nezvládla zátěž.
Nabízení poskytovatelé DoH ve Firefoxu jsou vybíráni podle k důvěryhodným DNS resolverům, podle nichž může DNS operátor používat získané údaje pro resolvování pouze k zajištění provozu služby, nesmí uchovávat záznamy déle než 24 hodin, nesmí předávat údaje třetím stranám a musí zveřejnit informace o metodách zpracování údajů. Služba musí také přislíbit, že nebude cenzurovat, filtrovat, zasahovat a blokovat DNS provoz, s výjimkou situací předepsaných legislativou.
Z událostí souvisejících s DNS-over-HTTPS lze také zmínit společnosti Apple implementovat podporu DNS-over-HTTPS a DNS-over-TLS v budoucích verzích iOS 14 a macOS 11, stejně jako podporu rozšíření ve formátu WebExtension v Safari.
Připomeňme, že DoH může být užitečný k vyloučení úniků informací o dotazovaných názvech hostitelů přes DNS servery poskytovatelů, k boji proti MITM útokům a podvržení DNS provozu (například při připojení k veřejnému Wi-Fi), k překonávání blokací na úrovni DNS (DoH nemůže nahradit VPN v oblasti obcházení blokací realizovaných na úrovni DPI) nebo k organizaci práce v případě nemožnosti přímého přístupu k DNS serverům (například při práci přes proxy). Pokud jsou v běžné situaci DNS dotazy přímo odesílány na určité DNS servery definované v konfiguraci systému, pak v případě DoH je dotaz na určení IP adresy hostitele zahuštěn do HTTPS provozu a odeslán na HTTP server, na kterém resolver zpracovává dotazy přes Web API. Stávající standard DNSSEC používá šifrování pouze pro autentizaci klienta a serveru, ale nechrání provoz před odposlechem a nezaručuje důvěrnost dotazů.
Zdroj: opennet.ru
