DNS-over-HTTPS er som standard aktiveret i Firefox for brugere i USA

Firefox-udviklere at de kun havde to blokke tilbage /8. om aktivering af DNS over HTTPS (DoH) som standardindstilling for brugere i USA. Kryptering af DNS-trafik betragtes som en grundlæggende beskyttelsesfaktor for brugerne. Fra i dag er DoH aktiveret som standard for alle nye installationer foretaget af brugere i USA. Eksisterende brugere i USA forventes at blive overført til DoH inden for de næste par uger. I EU og andre lande planlægger man ikke at aktivere DoH som standard endnu. det planlægger man ikke.

Når DoH er aktiveret, får brugeren vist en advarsel, der giver mulighed for at vælge at undgå brug af centraliserede DoH DNS-servere og vende tilbage til den traditionelle metode til at sende ukrypterede anmodninger til udbyderens DNS-server. I DoH er der anvendt en binding til en bestemt DoH-tjeneste i stedet for en distribueret infrastruktur af DNS-resolvere, hvilket kan betragtes som et enkelt fejlpunkt. I øjeblikket tilbydes drift gennem to DNS-udbydere — CloudFlare (som standard) og NextDNS.

Skift udbyder eller deaktiver DoH you can i indstillingerne for netværksforbindelsen. For eksempel kan man angive en alternativ DoH-server «https://dns.google/dns-query» for at forbindes til Googles servere, «https://dns.quad9.net/dns-query» — Quad9, og «https://doh.opendns.com/dns-query» — OpenDNS. I about:config er der også en indstilling for network.trr.mode, som giver mulighed for at ændre driftsmåde for DoH: værdi 0 deaktiverer DoH helt; 1 bruger DNS eller DoH afhængigt af hvad der er hurtigst; 2 bruger DoH som standard, og DNS som backup; 3 bruger kun DoH; 4 — spejlingsmode, hvor DoH og DNS anvendes parallelt.

Vi minder om, at DoH kan være nyttigt til at forhindre lækager af oplysninger om de anmodede vært-navne via udbydernes DNS-servere, bekæmpelse af MITM-angreb og manipulation af DNS-trafik (for eksempel ved forbindelse til offentligt Wi-Fi), modstå blokeringer på DNS-niveau (DoH kan ikke erstatte VPN i forhold til at omgå blokeringer implementeret på DPI-niveau) eller til at sikre drift i tilfælde af, at der ikke kan foretages direkte henvendelser til DNS-servere (for eksempel ved brug af proxy). I almindelige situationer sendes DNS-anmodninger direkte til de systemkonfigurerede DNS-servere, men i tilfældet med DoH indkapsles anmodningen om at bestemme IP-adressen for værten i HTTPS-trafikken og sendes til en HTTP-server, hvor resolveren behandler anmodninger via Web API. Den eksisterende standard DNSSEC bruger kryptering kun til at autentificere klienten og serveren, men beskytter ikke trafikken mod opsnapning og garanterer ikke fortrolighed for forespørgsler.

For at udvælge de DoH-udbydere, der tilbydes i Firefox, er der formuleret krav til pålidelige DNS-resolvører, ifølge hvilke DNS-operatøren kun må bruge de data, der modtages til opløsning, til at sikre tjenestens drift, ikke må opbevare logs i mere end 24 timer, ikke må overdrage data til tredjeparter og er forpligtet til at afsløre oplysninger om datahåndteringsmetoder. Tjenesten skal også forpligte sig til ikke at censurere, filtrere, blande sig i og blokere DNS-trafik, undtagen under betingelser som foreskrevet af lovgivningen.

DoH bør anvendes med forsigtighed. For eksempel er IP-adresserne 104.16.248.249 og 104.16.249.249, der er knyttet til den DoH-server, som er standard i Firefox mozilla.cloudflare-dns.com, opført i listen låsninger Roskomnadzor ifølge afgørelsen fra retten i Stavropol den 10.06.2013.

Brugen af DoH kan også medføre problemer inden for områder som forældrebeskyttelsessystemer, adgang til interne navnerum i virksomhedssystemer, rutevalg i systemer til optimering af indholdslevering og udførelse af retskendelser vedrørende bekæmpelse af ulovligt indhold og udnyttelse af mindreårige. For at omgå sådanne problemer er der implementeret og testet et system af kontroller, der automatisk deaktiverer DoH under bestemte betingelser.

For determining corporate resolvers, checks are performed on atypical top-level domains (TLD) and the system resolver returns intranet addresses. To identify the inclusion of parental controls, an attempt to resolve the name exampleadultsite.com is made, and if the result does not match the actual IP, it is considered that blocking of adult content at the DNS level is active. Also, Google and YouTube IP addresses are checked for their replacement with restrict.youtube.com, forcesafesearch.google.com, and restrictmoderate.youtube.com. These checks allow attackers controlling the resolver or able to interfere with traffic to simulate such behavior to disable DNS traffic encryption.

At arbejde gennem en enhed DoH-service kan også potentielt føre til problemer med trafikoptimering i indholdsleveringsnetværk, der udfører trafikbalancering ved hjælp af DNS (DNS-serveren i CDN-netværket genererer svar, der tager højde for resolverens adresse og giver den nærmeste vært til at få indhold). Afsendelse af DNS-forespørgsler fra den nærmeste resolver til brugeren i sådanne CDN'er fører til, at adressen for den nærmeste vært til brugeren returneres, men når en DNS-forespørgsel sendes fra en centraliseret resolver, gives adressen til den vært, der er tættest på DNS-over-HTTPS-serveren. Praktisk test har vist, at anvendelsen af DNS-over-HTTP ved brug af CDN næsten ikke førte til forsinkelser før indholdslevering (for hurtige forbindelser oversteg forsinkelserne ikke 10 millisekunder, og på langsomme forbindelser blev der endda observeret en hastighedsforøgelse). For at overføre oplysninger til resolveren om klientens placering, blev der også overvejet anvendelse af EDNS Client Subnet-udvidelsen.

Kilde: opennet.ru