Mozilla har præsenteret den tredje udbyder af DNS-over-HTTPS til Firefox.

Mozilla Company at aftale med tredjeparter DNS over HTTPS (DoH) for Firefox. Udover de tidligere foreslåede DNS-servere fra CloudFlare ("https://1.1.1.1/dns-query") og NextDNS (https://dns.nextdns.io/id), vil indstillingerne også inkludere tjenesten fra Comcast (https://doh.xfinity.com/dns-query). Aktiver DoH og vælg udbyderen you can i netværksindstillingerne.

Vi minder om, at testfunktionen til DNS over HTTPS blev aktiveret i Firefox 77 med afsendelse af 10 testforespørgsler fra hver klient og automatisk valg af DoH-udbyder. Denne test måtte deaktiveres i versionen 77.0.1, da den udviklede sig til en slags DDoS-angreb på tjenesten NextDNS, som ikke kunne håndtere belastningen.

De DoH-udbydere, der tilbydes i Firefox, vælges i overensstemmelse med kravene til pålidelige DNS-resolvører, ifølge hvilke DNS-operatøren kun må bruge de data, der modtages til opløsning, til at sikre tjenestens drift, ikke må opbevare logs i mere end 24 timer, ikke må overdrage data til tredjeparter og er forpligtet til at afsløre oplysninger om datahåndteringsmetoder. Tjenesten skal også forpligte sig til ikke at censurere, filtrere, blande sig i og blokere DNS-trafik, undtagen under betingelser som foreskrevet af lovgivningen.

Af begivenheder relateret til DNS-over-HTTPS kan det også nævnes løsning at Apple implementerer support for DNS-over-HTTPS og DNS-over-TLS i kommende versioner af iOS 14 og macOS 11, samt tilføje support for udvidelser i WebExtension-format i Safari.

Vi minder om, at DoH kan være nyttigt til at forhindre lækager af oplysninger om de anmodede vært-navne via udbydernes DNS-servere, bekæmpelse af MITM-angreb og manipulation af DNS-trafik (for eksempel ved forbindelse til offentligt Wi-Fi), modstå blokeringer på DNS-niveau (DoH kan ikke erstatte VPN i forhold til at omgå blokeringer implementeret på DPI-niveau) eller til at sikre drift i tilfælde af, at der ikke kan foretages direkte henvendelser til DNS-servere (for eksempel ved brug af proxy). I almindelige situationer sendes DNS-anmodninger direkte til de systemkonfigurerede DNS-servere, men i tilfældet med DoH indkapsles anmodningen om at bestemme IP-adressen for værten i HTTPS-trafikken og sendes til en HTTP-server, hvor resolveren behandler anmodninger via Web API. Den eksisterende standard DNSSEC bruger kryptering kun til at autentificere klienten og serveren, men beskytter ikke trafikken mod opsnapning og garanterer ikke fortrolighed for forespørgsler.

Kilde: opennet.ru