Mozilla-udviklerne om udførelsen af en ny undersøgelse i forbindelse med forberedelsen til implementeringen af funktionen til at opfordre til DNS over HTTPS (DoH, DNS over HTTPS). I løbet af det udførte eksperiment på systemerne hos en del brugere af Firefox-udgivelserne i USA vil der blive indsamlet statistik om brugen af systemer til forældrekontrol og virksomhedens resolvere. Man kan vælge at trække sig fra eksperimentet via siden «about:studies» (undersøgelsen præsenteres i listen som «Detection Logic for DNS-over-HTTPS»).
Til undersøgelsen vil der blive indsamlet anonymiserede data, der kun inkluderer tællere, uden angivelse af specifikke adresser og domæner. For at identificere systemer til forældrekontrol vil der blive sendt en anmodning om bestemmelse af navnet exampleadultsite.com, og hvis det ikke stemmer overens med den faktiske IP, kan det antages, at der er aktiveret blokering af voksenindhold på DNS-niveau. Desuden vil der blive vurderet IP-adresser de data, der returneres for Google og YouTube, for at kontrollere deres substitution til restrict.youtube.com, forcesafesearch.google.com og restrictmoderate.youtube.com.
For at identificere brugen af interne virksomhedens resolvere vil de værter, der identificeres ved åbning af websteder, blive kontrolleret for brugen af atypiske domæner på første niveau (TLD) og for at se, om der returneres intranet-adresser for dem. Motivet bag eksperimentet var bekymringer om, at aktivering af DNS-over-HTTPS som standard kan forstyrre funktionaliteten af eksisterende forældrekontrolsystemer, der fungerer via DNS, samt skabe problemer for brugere af virksomhedsnetværk, der bruger DNS-servere, der leverer oplysninger om interne domæner, som ikke er synlige i det eksterne netværk.
Vi minder om, at DoH kan være nyttigt til at forhindre lækager af oplysninger om anmodede værtsnavne via udbyderens DNS-servere, bekæmpe MITM-angreb og manipulering af DNS-trafik, modstå blokeringer på DNS-niveau, eller til at organisere drift i tilfælde af, at direkte adgang til DNS-servere ikke er muligt (for eksempel ved brug af en proxy). I normale situationer sendes DNS-forespørgsler direkte til specificerede DNS-servere i systemkonfigurationen; i tilfælde af DoH indkapsles forespørgslen om at bestemme IP-adressen for værten i HTTPS-trafik og sendes til en HTTP-server, hvor resolveren behandler forespørgsler via Web API. Den eksisterende standard DNSSEC bruger kryptering kun til autentifikation af klienten og serveren, men beskytter ikke trafikken mod opsnapning og garanterer ikke fortrolighed af forespørgsler.
For enabling DoH in about:config, you need to change the value of the variable network.trr.mode, which has been supported since Firefox 60. The value 0 completely disables DoH; 1 uses DNS or DoH, depending on which is faster; 2 uses DoH by default, with DNS as a fallback; 3 uses only DoH; 4 is a mirroring mode where DoH and DNS are used in parallel. By default, CloudFlare's DNS server is used, but it can be changed via the network.trr.uri parameter, for example, you can set it to "https://dns.google.com/experimental" or "https://9.9.9.9/dns-query".
Kilde: opennet.ru
