„Elsker og elsker ikke“: DNS over HTTPS

Vi undersøger meninger om DNS over HTTPS, som for nylig er blevet et "æble af splid" blandt internetudbydere og browserudviklere.

/ Unsplash / Steve Halama

Kernen i uenighederne

For nylig store medier og faglige platforme (herunder Habr), skriver ofte om protokollen DNS over HTTPS (DoH). Den krypterer anmodninger til DNS-servere og svarene derfra. Denne tilgang gør det muligt at skjule de domæner, som brugeren henvender sig til. Udgivelserne antyder, at den nye protokol (i IETF godkendte den i 2018) har delt IT-samfundet i to lejre.

Den ene halvdel mener, at den nye protokol vil øge internetsikkerheden og implementerer den i deres applikationer og tjenester. Den anden halvdel er overbevist om, at teknologien blot komplicerer arbejdet for systemadministratorer. Herunder vil vi gennemgå argumenter fra begge sider.

Hvordan fungerer DoH

Før vi går videre til at diskutere, hvorfor internetudbydere og andre aktører på markedet er for eller imod DNS over HTTPS, vil vi kort gennemgå principperne for dets funktion.

I tilfælde af DoH indkapsles anmodningen om at bestemme IP-adressen i HTTPS-trafikken. Derefter sendes den til en HTTP-server, hvor den behandles ved hjælp af API. Her er et eksempel på en anmodning fra RFC 8484 (s. 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Dermed er DNS-trafikken skjult i HTTPS-trafikken. Klienten og serveren kommunikerer via standardport 443. Som følge heraf forbliver anmodninger til domænesystemet anonyme.

Hvorfor det ikke er populært

Modstandere af DNS over HTTPS repræsentanter fra IBM, denne tilgang giver mulighed for at reducere driftsomkostningerne og forbedre kvaliteten af de tjenester, IT-afdelingen leverer., hævder at den nye protokol vil reducere sikkerheden for forbindelser. Ifølge ifølge Paul Vixie, medlem af DNS-udviklingsteamet, vil det være sværere for systemadministratorer at blokere potentielt skadelige websteder. Almindelige brugere vil miste muligheden for at konfigurere såkaldt forældrebeskyttelse i browsere.

Paul fås støtte fra internetudbydere i Storbritannien. Landets lovgivning forpligter dem til at blokere ressourcer med forbudt indhold. Men understøttelsen af DoH i browsere komplicerer opgaven med trafikkontrol. Kritikerne af den nye protokol inkluderer også Den Britiske Regerings Kommunikationshovedkvarter (GCHQ) og Internet Watch Foundation (IWF), som fører et register over blokerede ressourcer.

I vores blog på Habr:

• Kampen mod robo-opkald i USA – hvem vinder, og hvorfor
• Britiske telekomvirksomheder vil betale kompensation til abonnenter for afbrydelser i forbindelse.

Eksperter bemærker, at DNS over HTTPS kan blive en trussel mod cybersikkerhed. I begyndelsen af juli påpegede sikkerhedsspecialister fra Netlab, Hvad nu den første virus, der anvendte den nye protokol til DDoS-angreb — Godlua. Den ondsindede software benyttede DoH til at hente tekstposter (TXT) og udtrække URL-adresser for kontrolserverne.

Krypterede DoH-forespørgsler blev ikke genkendt af antivirussoftware. Sikkerhedsspecialister frygter, at efter Godlua vil der komme andre skadelige programmer, der er usynlige for passiv DNS-monitorering.

Men ikke alle er imod.

I forsvar for DNS over HTTPS skriver ingeniøren fra APNIC, Geoff Houston, i sin blog. udtales Ifølge ham vil den nye protokol hjælpe med at bekæmpe DNS hijacking-angreb, som er blevet mere almindelige på det seneste. Denne kendsgerning bekræfter en januarrapport fra sikkerhedsfirmaet FireEye. Protokollen er blevet støttet af store IT-virksomheder.

Allerede i begyndelsen af sidste år begyndte Google at teste DoH. For en måned siden præsenterede introducerede de en version af deres DoH-service til almindelig brug. I Google håber man, at det vil øge sikkerheden for personlige data online og beskytte mod MITM-angreb.

En anden browserudvikler — Mozilla — even Linus Torvalds himself — he called the WireGuard code "a work of art." har anvendt DNS over HTTPS siden sommeren sidste år. Samtidig fremmer virksomheden aktivt den nye teknologi i IT-miljøet. For dette blev Mozilla nomineret af Internet Services Providers Association (ISPA) til og med. Mozilla til årets pris for 'internet-skurk'. Som svar har repræsentanter for virksomheden blev bemærket af, at de er skuffede over teleoperatørernes modvilje til at forbedre den forældede internetinfrastruktur.

/ Unsplash / TETrebbien

Støtte til Mozilla blandt store medier og nogle internetudbydere. Især hos British Telecom mener, at den nye protokol ikke vil påvirke indholdsfiltreringen og vil øge sikkerheden for britiske brugere. Under pres fra offentligheden blev ISPA nødt til at trække den 'slemme' nominering tilbage.

Også cloud-udbydere har talt for implementeringen af DNS over HTTPS, for eksempel Cloudflare. De tilbyder allerede DNS-services baseret på den nye protokol. En fuld liste over browsere og klienter, der understøtter DoH, kan findes på GitHub.

Uanset hvad kan vi ikke tale om en afslutning på konflikten mellem de to lejre endnu. IT-specialister forudsiger, at hvis DNS over HTTPS skal blive en del af den brede vifte af internetteknologier, vil det tage mere end et årti..

Hvad ellers skriver vi om på vores corporate blog:

• Hvordan internetselskabets netværk er opbygget
• Primære tjenester i internetselskabets netværk
• Konvergens og unifikation – flere opgaver på én enhed

Kilde: habr.com