Wir betrachten die Meinungen zu den Besonderheiten von DNS over HTTPS, die in letzter Zeit zum "Streitpunkt" unter Internetanbietern und Browserentwicklern geworden sind.
/ Unsplash /
Das Wesen der Meinungsverschiedenheiten
In letzter Zeit und (darunter Habr), berichten häufig über das Protokoll DNS over HTTPS (DoH). Es verschlüsselt Anfragen an DNS-Server sowie deren Antworten. Dieser Ansatz ermöglicht es, die Hostnamen zu verbergen, auf die der Benutzer zugreift. Aus den Publikationen kann man den Schluss ziehen, dass das neue Protokoll (in IETF im Jahr 2018) die IT-Community in zwei Lager gespalten hat.
Die eine Hälfte glaubt, dass das neue Protokoll die Sicherheit des Internets erhöht und implementiert es in ihren Anwendungen und Diensten. Die andere Hälfte ist überzeugt, dass die Technologie nur die Arbeit der Systemadministratoren kompliziert. Im Folgenden betrachten wir die Argumente beider Seiten.
Wie DoH funktioniert
Bevor wir darüber sprechen, warum Internetanbieter und andere Marktteilnehmer für oder gegen DNS over HTTPS sind, betrachten wir kurz die Funktionsweise.
Im Fall von DoH wird die Anfrage zur Ermittlung der IP-Adresse im HTTPS-Verkehr verpackt. Anschließend geht sie an einen HTTP-Server, wo sie mithilfe von API verarbeitet wird. Hier ist ein Beispiel einer Anfrage aus RFC 8484 ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
Somit ist der DNS-Verkehr im HTTPS-Verkehr verborgen. Client und Server kommunizieren über den Standardport 443. Infolgedessen bleiben die Anfragen an das Domain Name System anonym.
Warum es nicht beliebt ist
Gegner von DNS over HTTPS , dass das neue Protokoll die Sicherheit der Verbindungen verringert. Laut Paul Vixie, einem Mitglied des DNS-Entwicklungsteams, wird es für Systemadministratoren schwieriger sein, potenziell schädliche Websites zu blockieren. Normalbenutzer verlieren dabei die Möglichkeit, eine Art elterliche Kontrolle in Browsern einzurichten.
Die Meinung von Paul wird von Internetanbietern in Großbritannien geteilt. Die Gesetzgebung des Landes sie dazu, Inhalte mit verbotenen Inhalten zu blockieren. Aber die Unterstützung von DoH in Browsern erschwert die Aufgabe der Verkehrsfilterung. Zu den Kritikern des neuen Protokolls gehört auch das Government Communications Headquarters () und die Internet Watch Foundation (), die ein Register blockierter Ressourcen führt.
In unserem Blog auf Habr:
Experten stellen fest, dass DNS über HTTPS eine Bedrohung für die Cybersicherheit darstellen könnte. Anfang Juli berichteten Sicherheitsexperten von Netlab, der erste Virus, der das neue Protokoll für DDoS-Angriffe nutzte — . Die Schadsoftware griff auf DoH zurück, um Textdatensätze (TXT) abzurufen und URLs von Kontrollservern zu extrahieren.
Verschlüsselte DoH-Anfragen wurden von Antivirensoftware nicht erkannt. Sicherheitsexperten , dass nach Godlua weitere Schadsoftware folgen wird, die für passives DNS-Monitoring unsichtbar ist.
Aber nicht alle sind dagegen.
Zur Verteidigung von DNS über HTTPS äußerte sich auf seinem Blog Ingenieur von APNIC Geoff Houston. Laut ihm wird das neue Protokoll helfen, mit DNS-Hijacking-Angriffen umzugehen, die in letzter Zeit zunehmend verbreitet sind. Dieser Fakt führt auf einen Bericht von FireEye aus Januar. Die Entwicklung des Protokolls wurde auch von großen IT-Unternehmen unterstützt.
Bereits zu Beginn des letzten Jahres begann Google mit Tests von DoH. Vor einem Monat veröffentlichte das Unternehmen die General Availability-Version seines DoH-Services. Bei Google , dass es die Sicherheit personenbezogener Daten im Netz erhöht und vor MITM-Angriffen schützt.
Ein anderer Browserentwickler — Mozilla — setzt seit dem Sommer letzten Jahres auf DNS über HTTPS. Gleichzeitig fördert das Unternehmen aktiv die neue Technologie in der IT-Community. Dafür erhielt die Internet Service Providers Association (ISPA) Mozilla für den "Internet-Schurken des Jahres". Im Gegenzug äußerten Vertreter des Unternehmens , dass sie enttäuscht sind über den Widerstand der Telekommunikationsanbieter gegen die Verbesserung der veralteten Internetinfrastruktur.
/ Unsplash /
Große Medien , dass das neue Protokoll die Inhaltsfilterung nicht beeinträchtigen und die Sicherheit britischer Nutzer erhöhen wird. Unter dem Druck der Öffentlichkeit sah sich die ISPA gezwungen, Auch Cloud-Anbieter sprachen sich für die Implementierung von DNS über HTTPS aus, zum Beispiel
. Sie bieten bereits DNS-Dienste basierend auf dem neuen Protokoll an. Eine vollständige Liste von Browsern und Clients, die DoH unterstützen, finden Sie auf In jedem Fall ist es verfrüht, über das Ende der Auseinandersetzung zwischen den beiden Lagern zu sprechen. IT-Experten prognostizieren, dass es Jahrzehnte dauern wird, bis DNS über HTTPS Teil des Massenstapels von Internettechnologien wird. .
nicht ein einziges Jahrzehnt. .
Worüber wir sonst noch in unserem Unternehmensblog schreiben:
Quelle: habr.com
