„Miluje a nemiluje“: DNS over HTTPS

Analyzujeme názory na vlastnosti fungování DNS over HTTPS, které se v poslední době staly "jablkem sváru" mezi poskytovateli internetu a vývojáři prohlížečů.

/ Unsplash / Steve Halama

Podstata neshod

V poslední době velká média a tematické platformy (včetně Habr), často píší o protokolu DNS over HTTPS (DoH). Ten šifruje dotazy na DNS server a jejich odpovědi. Tento přístup umožňuje skrýt názvy hostitelů, na které se uživatel obrací. Z publikací lze usoudit, že nový protokol (v IETF byl schválen v roce 2018) rozdělil IT komunitu na dva tábory.

Polovina se domnívá, že nový protokol zvýší bezpečnost internetu, a implementuje ho do svých aplikací a služeb. Druhá polovina je přesvědčena, že technologie jen zkomplikuje práci systémovým administrátorům. Dále prozkoumáme argumenty obou stran.

Jak funguje DoH

Než přejdeme k diskuzi o tom, proč se poskytovatelé internetu a další účastníci trhu staví za nebo proti DNS over HTTPS, krátce si objasníme jeho principy fungování.

V případě DoH je dotaz na určení IP adresy zapouzdřen do HTTPS provozu. Poté putuje na HTTP server, kde je zpracován pomocí API. Zde je příklad dotazu z RFC 8484 (str.6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Tímto způsobem je DNS provoz skryt v HTTPS provozu. Klient a server komunikují na standardním portu 443. Výsledkem jsou anonymní dotazy na systém doménových jmen.

Proč jej neuznávají

Odpůrci DNS over HTTPS , že pokud Google, Apple, Facebook a makléři dat mají povoleno prodávat osobní údaje klientů bez jejich souhlasu, měla by mít tuto možnost i internetová poskytovatelé. Avšak stojí za zmínku, že na federální úrovni, že nový protokol sníží bezpečnost připojení. Podle slov Paula Vixieho, člena týmu vývojářů DNS, budou mít administrátoři systémů potíže s blokováním potenciálně škodlivých webových stránek. Běžní uživatelé tím ztratí možnost nastavit podmínkovou rodičovskou kontrolu v prohlížečích.

Názor Paula sdílejí poskytovatelé internetu ve Velké Británii. Legislativa země nukáže jim blokovat zdroje s nepovoleným obsahem. Ale podpora DoH v prohlížečích ztěžuje úkol filtrování provozu. Mezi kritiky nového protokolu patří také Centrum vládní komunikace Anglie (GCHQ) a fond Internet Watch Foundation (IWF), který vede registr blokovaných zdrojů.

Na našem blogu na Habr:

• Válka s robo-zavoláními v USA - kdo vyhrává a proč
• Britské telekomy budou vyplácet abonentům kompenzace za výpadky spojení

Experti upozorňují, že DNS over HTTPS může představovat hrozbu kybernetické bezpečnosti. Na začátku července odborníci z Netlab objevili byl prvním virem, který využíval nový protokol k provádění DDoS útoků — Godlua. Malware se obracel na DoH, aby získal textové záznamy (TXT) a extrahoval URL adresy řídicích serverů.

Šifrované DoH dotazy nebyly rozpoznávány antivirovými programy. Odborníci na kybernetickou bezpečnost se obávají, že po Godlua přijdou další malware, které budou neviditelné pro pasivní monitorování DNS.

Ale ne všichni jsou proti

Na ochranu DNS over HTTPS ve svém blogu vyjádřil inženýr z APNIC Geoff Houston. Podle něj nový protokol umožní bojovat proti útokům DNS hijacking, které se v poslední době stávají stále běžnějšími. Tento fakt potvrzuje lednová zpráva společnosti FireEye. Vývoj protokolu podporují také velké IT společnosti.

Už na začátku loňského roku začali testovat DoH v Google. A před měsícem firma představila vydala verzi General Availability svého DoH služby. V Google doufají, že zvýší bezpečnost osobních údajů na internetu a ochrání před útoky MITM.

Další vývojář prohlížečů — Mozilla — srcset implementovala DNS over HTTPS od léta loňského roku. Přitom firma aktivně prosazuje novou technologii v IT prostředí. Za to byla asociací poskytovatelů Internet Services Providers Association (ISPA) dokonce nominována Mozilla na cenu "internetový zloduch roku". V reakci na to představitelé firmy , že nařízení diskriminuje poskytovatele a porušuje, že jsou zklamaní neochotou operátorů spojení vylepšovat zastaralou internetovou infrastrukturu.

/ Unsplash / TETrebbien

Na podporu Mozilla se vyjádřila významná média a někteří poskytovatelé internetu. Konkrétně British Telecom považují, že nový protokol nebude mít vliv na filtrování obsahu a zvýší bezpečnost britských uživatelů. Pod tlakem veřejnosti ISPA musela stáhnout "zlodějskou" nominaci.

Také oblační poskytovatelé, například Cloudflare, již nabízejí DNS služby na základě nového protokolu. Kompletní seznam prohlížečů a klientů s podporou DoH naleznete na GitHub.

V každém případě nelze hovořit o konci sporu dvou táborů. IT specialisté předpovídají, že pokud se DNS over HTTPS má stát součástí hromadného balíku internetových technologií, potrvá to desetiletí.

O čem dalším píšeme v našem firemním blogu:

• Jak je postavena síť internetového poskytovatele
• Hlavní služby v sítích internetového poskytovatele
• Konvergence a unifikace – několik úloh na jednom zařízení

Zdroj: habr.com