Oborové asociace , a , které hájí zájmy poskytovatelů internetu, na Kongres USA s žádostí o pozornost na problém zavedení „DNS přes HTTPS“ (DoH, DNS over HTTPS) a požádat Google o podrobné informace o aktuálních a budoucích plánech na začlenění DoH do svých produktů, jakož i o závazek nezahrnout centrální zpracování DNS dotazů do Chrome a Androidu bez předchozího důkladného projednání s dalšími zástupci ekosystému a zvážení možných negativních dopadů.
S vědomím celkového přínosu šifrování pro DNS provoz, asociace považují za nepřijatelné soustředění kontroly nad překladem jmen do jedněch rukou a vazbu na tento mechanismus jako výchozí na centralizované DNS služby. Konkrétně se uvádí, že Google směřuje k zavedení DoH jako výchozího mechanismu v Androidu a Chromu, což v případě vazby na servery Google povede k narušení decentralizovaného charakteru infrastruktury DNS a vzniku jediného bodu selhání.
Jelikož Chrome a Android dominují na trhu, v případě, že Google vnucuje své DoH servery, získá možnost kontrolovat většinu směru DNS dotazů uživatelů. Kromě snížení spolehlivosti infrastruktury by tento krok také dal Googlu neodůvodněné výhody před konkurencí, neboť by získal další informace o činnosti uživatelů, které mohou být použity ke sledování činnosti uživatelů a směrování relevantní reklamy.
Zavedení DoH může také narušit funkci v oblastech jako jsou systémy rodičovské kontroly, přístup k vnitřním prostorům jmen v podnikových systémech, výběr tras v systémech optimalizace dodávky obsahu a výkon soudních příkazů v boji proti šíření nezákonného obsahu a zneužívání nezletilých. Záměna DNS se také často používá k přesměrování uživatelů na stránku s informacemi o vyčerpání prostředků u předplatitelů nebo k přihlášení do bezdrátové sítě.
Společnost Google , že obavy jsou neopodstatněné, jelikož nemá v úmyslu výchozí zapnutí DoH v Chrome a Androidu. V prohlížeči Chrome 78 bude experimentální funkce DoH ve výchozím nastavení pokrývat pouze uživatele, kteří ve svých nastaveních uvedli DNS poskytovatele, kteří nabízejí možnost používat DoH jako alternativu k tradičním DNS. U těch, kteří používají DNS servery poskytované místním internetovým poskytovatelem, budou DNS dotazy i nadále odesílány přes systémový resolver. Tedy akce Google spočívá pouze v nahrazení na ekvivalentní službu aktuálního poskytovatele pro přechod na zabezpečenou metodu práce s DNS. Experimentální zavedení DoH je také plánováno v prohlížeči Firefox, ale na rozdíl od Google firma Mozilla nimi ve výchozím nastavení DNS server CloudFlare. Tento přístup již vyvolal reakce ze strany projektu OpenBSD.
Připomeňme, že DoH může být užitečné pro vyloučení úniků informací o požadovaných názvech hostitelů prostřednictvím DNS serverů poskytovatelů, boj proti MITM útokům a padělání DNS provozu (například při připojení k veřejné Wi-Fi), proti blokování na úrovni DNS (DoH nemůže nahradit VPN v oblasti obcházení blokací, které byly realizovány na úrovni DPI) nebo pro organizaci práce v případě nemožnosti přímého přístupu k DNS serverům (například při práci přes proxy).
Pokud se obvykle DNS dotazy odesílají přímo na určité DNS servery uvedené v konfiguraci systému, pak v případě DoH je dotaz na určení IP adresy hostitele zakomponován do HTTPS provozu a odeslán na HTTP server, na kterém resolver zpracovává dotazy prostřednictvím Web API. Existující standard DNSSEC používá šifrování pouze pro autentizaci klienta a serveru, ale nechrání provoz před zachycením a nezaručuje důvěrnost dotazů. V současné době přibližně podporuje DoH.
Zdroj: opennet.ru
