Firefox-udviklere om afslutningen af testningen af DNS over HTTPS (DoH, DNS over HTTPS) samt planerne om at aktivere denne teknologi som standard for brugere i USA i slutningen af september. Aktiveringen vil ske gradvist, først for et par procent brugere, og hvis der ikke opstår problemer, vil den langsomt blive rullet ud til 100%. Efter at have dækket USA, vil muligheden for at aktivere DoH i andre lande blive overvejet.
De test, der er udført i løbet af året, har vist systemets pålidelighed og gode ydeevne, og har også gjort det muligt at identificere visse situationer, hvor DoH kan forårsage problemer og udvikle løsninger til at omgå disse (for eksempel, har der været arbejdet med optimering af trafik i indholdsleveringsnetværk, forældrekontrol og interne DNS-zoner for virksomheder).
Vigtigheden af kryptering af DNS-trafik vurderes som en grundlæggende faktor for beskyttelse af brugerne, derfor er det besluttet at aktivere DoH som standard, men i første omgang kun for brugere i USA. Efter aktivering af DoH vil brugeren modtage en advarsel, der giver mulighed for at fravælge forbindelsen til de centraliserede DoH-DNS-servere og vende tilbage til den traditionelle metode til at sende ukrypterede forespørgsler til udbyderens DNS-server (i stedet for den distribuerede infrastruktur for DNS-resolvers, hvor DoH bruger binding til en bestemt DoH-service, som kan betragtes som et enkelt fejlsikringspunkt).
Ved aktivering af DoH kan der opstå problemer for forældrekontrolsystemer og virksomhedsnet, der bruger en DNS-navnestruktur kun til intern netværk for at oversætte intranet-adresser og virksomhedens værter. For at løse problemerne med sådanne systemer er der tilføjet et kontrolsystem, der automatisk deaktiverer DoH. Kontrollerne udføres ved hver opstart af browseren eller ved detektion af ændring af subnet.
Den automatiske tilbagevenden til at bruge systemets standardresolver er også forudsat i tilfælde af fejl ved opløsning via DoH (f.eks. ved netværksproblemer med DoH-udbyderen eller svigt i dens infrastruktur). Meningen med sådanne kontroller er tvivlsom, da ingenting forhindrer angribere, der kontrollerer resolverens funktion eller kan gribe ind i trafikken, i at simulere denne adfærd for at deaktivere kryptering af DNS-trafikken. Problemet er løst ved at tilføje en indstilling "DoH always" (som standard ikke aktiv), som når den er aktiveret, gælder automatisk deaktivering ikke, hvilket er et fornuftigt kompromis.
Til bestemmelse af virksomheders resolvere udføres kontroller af usædvanlige top-level domæner (TLD) og systemresolveren returnerer intranet-adresser. For at bestemme om forældrekontrol er aktiveret, forsøges der at opløse navnet exampleadultsite.com, og hvis resultatet ikke svarer til den faktiske IP, anses det for, at blokeringen af voksenindhold på DNS-niveau er aktiv. Som indikatorer kontrolleres også IP-adresserne fra Google og YouTube for om de er blevet ændret til restrict.youtube.com, forcesafesearch.google.com og restrictmoderate.youtube.com. Derudover Mozilla implementere en ensartet kontrolhost , som kan bruges af internetudbydere og forældrekontroltjenester som en markør for at deaktivere DoH (hvis hosten ikke kan bestemmes, deaktiverer Firefox DoH).
At arbejde gennem en enhed DoH-service kan også potentielt føre til problemer med trafikoptimering i indholdsleveringsnetværk, der udfører trafikbalancering ved hjælp af DNS (DNS-serveren i CDN-netværket genererer svar, der tager højde for resolverens adresse og giver den nærmeste vært til at få indhold). Afsendelse af DNS-forespørgsler fra den nærmeste resolver til brugeren i sådanne CDN'er fører til, at adressen for den nærmeste vært til brugeren returneres, men når en DNS-forespørgsel sendes fra en centraliseret resolver, gives adressen til den vært, der er tættest på DNS-over-HTTPS-serveren. Praktisk test har vist, at anvendelsen af DNS-over-HTTP ved brug af CDN næsten ikke førte til forsinkelser før indholdslevering (for hurtige forbindelser oversteg forsinkelserne ikke 10 millisekunder, og på langsomme forbindelser blev der endda observeret en hastighedsforøgelse). For at overføre oplysninger til resolveren om klientens placering, blev der også overvejet anvendelse af EDNS Client Subnet-udvidelsen.
Vi minder om, at DoH kan være nyttigt til at forhindre lækager af oplysninger om anmodede værtsnavne via udbyderens DNS-servere, bekæmpe MITM-angreb og manipulering af DNS-trafik, modstå blokeringer på DNS-niveau, eller til at organisere drift i tilfælde af, at direkte adgang til DNS-servere ikke er muligt (for eksempel ved brug af en proxy). I normale situationer sendes DNS-forespørgsler direkte til specificerede DNS-servere i systemkonfigurationen; i tilfælde af DoH indkapsles forespørgslen om at bestemme IP-adressen for værten i HTTPS-trafik og sendes til en HTTP-server, hvor resolveren behandler forespørgsler via Web API. Den eksisterende standard DNSSEC bruger kryptering kun til autentifikation af klienten og serveren, men beskytter ikke trafikken mod opsnapning og garanterer ikke fortrolighed af forespørgsler.
For enabling DoH in about:config, you need to change the value of the variable network.trr.mode, which has been supported since Firefox 60. The value 0 completely disables DoH; 1 uses DNS or DoH, depending on which is faster; 2 uses DoH by default, with DNS as a fallback; 3 uses only DoH; 4 is a mirroring mode where DoH and DNS are used in parallel. By default, CloudFlare's DNS server is used, but it can be changed via the network.trr.uri parameter, for example, you can set it to "https://dns.google.com/experimental" or "https://9.9.9.9/dns-query".
Kilde: opennet.ru
