Handelsforeninger , og , som repræsenterer interessen for internetudbydere, til den amerikanske kongres med anmodning om at vække opmærksomhed på problemet med implementeringen af «DNS over HTTPS» (DoH, DNS over HTTPS) og anmode Google om detaljerede oplysninger om nuværende og fremtidige planer for at inkludere DoH i sine produkter samt forpligtelsen til ikke at aktivere centraliseret behandling af DNS-anmodninger i Chrome og Android som standard uden en grundig diskussion med andre interessenter i økosystemet og hensyntagen til mulige negative konsekvenser.
Idet de erkender den samlede fordel ved at anvende kryptering for DNS-trafik, anser foreningerne det for uacceptabelt at centralisere kontrollen over navneændringer og knytte denne mekanisme som standard til centraliserede DNS-tjenester. Det hævdes specifikt, at Google bevæger sig mod at indføre DoH som standard i Android og Chrome, hvilket, hvis det knyttes til Google-servere, vil bryde det decentrale princip for DNS-infrastruktur og skabe en enkelt fejlkilde.
Da Chrome og Android dominerer markedet, vil Google få mulighed for at kontrollere en stor del af brugernes DNS-anmodning strømme, hvis de tvinger deres DoH-servere. Ud over at reducere pålideligheden af infrastrukturen vil et sådant skridt også give Google uretmæssige fordele i forhold til konkurrenterne, da virksomheden vil få yderligere oplysninger om brugernes handlinger, som kan bruges til at overvåge brugernes aktiviteter og målrette relevant reklame.
Implementeringen af DoH kan også forstyrre funktioner inden for områder som forælder kontrolsystemer, adgang til interne navnerum i virksomhedssystemer, rutevalg i indhold leverings optimeringssystemer samt opfyldelse af retskendelser til bekæmpelse af spredning af ulovligt indhold og udnyttelse af mindreårige. Falsk DNS anvendes ofte til at omdirigere brugere til en meddelelse om, at abonnentens midler er udtømt, eller til at logge ind på et Wi-Fi-netværk.
Google , at bekymringerne er grundløse, da de ikke agter at aktivere DoH som standard i Chrome og Android. I Chrome 78 vil eksperimentel aktivering af DoH som standard kun omfatte brugere, hvis indstillinger angiver DNS-udbydere, der tilbyder mulighed for at bruge DoH som et alternativ til traditionelle DNS. For dem, der bruger DNS-servere leveret af deres lokale internetudbyder, vil DNS-forespørgsler fortsætte med at blive sendt gennem systemets resolver. Altså handler Googles tiltag kun om at erstatte med en ækvivalent service fra den nuværende udbyder for at skifte til en sikker metode til at arbejde med DNS. Den eksperimentelle aktivering af DoH er også planlagt i Firefox, men i modsætning til Google er Mozilla som standard DNS-server CloudFlare. Denne tilgang har allerede udløst fra projektet OpenBSD.
Lad os huske, at DoH kan være nyttigt til at forhindre lækage af oplysninger om de anmodede værtsnavne via udbydernes DNS-servere, bekæmpe MITM-angreb og manipulation af DNS-trafik (for eksempel når man tilslutter sig offentligt Wi-Fi), modstå blokeringer på DNS-niveau (DoH kan ikke erstatte VPN i forhold til omgåelse af blokeringer, der er implementeret på DPI-niveau) eller til at organisere arbejdet i situationer, hvor direkte adgang til DNS-servere ikke er mulig (for eksempel når man arbejder gennem en proxy).
Hvis DNS-forespørgsler normalt sendes direkte til de i systemkonfigurationen angivne DNS-servere, så bliver anmodningen om at bestemme IP-adressen for værten indkapslet i HTTPS-trafik og sendt til en HTTP-server, hvor resolveren behandler anmodninger via Web API. Den eksisterende standard DNSSEC bruger kryptering kun til at autentificere klienten og serveren, men beskytter ikke trafikken mod opsnapning og garanterer ikke fortroligheden af anmodningerne. I øjeblikket understøtter omkring DoH.
Kilde: opennet.ru
