Firefox-Entwickler Über den Abschluss der Tests zur Unterstützung von DNS über HTTPS (DoH, DNS over HTTPS) und die Absicht, diese Technologie Ende September standardmäßig für Nutzer in den USA zu aktivieren. Die Aktivierung erfolgt schrittweise, zunächst für einige Prozentsätze der Nutzer, und im Falle von Problemen wird sie schrittweise auf 100% erhöht. Nach der Aktivierung in den USA wird die Möglichkeit geprüft, DoH auch in anderen Ländern zu aktivieren.
Die im Laufe des Jahres durchgeführten Tests haben die Zuverlässigkeit und gute Leistung des Dienstes gezeigt und ermöglichten es, einige Situationen zu identifizieren, in denen DoH zu Problemen führen kann, und Lösungen zu entwickeln, um diesen zu umgehen (zum Beispiel wurden analysiert die Optimierung des Verkehrs in Content-Delivery-Netzwerken, die Elternkontrolle und interne DNS-Zonen in Unternehmen).
Die Bedeutung der Verschlüsselung des DNS-Verkehrs wird als ein grundlegender Faktor zum Schutz der Nutzer eingeschätzt, daher wurde beschlossen, DoH standardmäßig zu aktivieren, zunächst jedoch nur für Nutzer in den USA. Nach der Aktivierung von DoH erhält der Nutzer eine Warnung, die es ihm ermöglicht, auf Wunsch die Anfragen an zentralisierte DoH-DNS-Server abzulehnen und zum traditionellen Ansatz des Versendens unverschlüsselter Anfragen an den DNS-Server des Anbieters zurückzukehren (statt der verteilten Infrastruktur von DNS-Resolvern, bei denen DoH eine Bindung an einen bestimmten DoH-Dienst verwendet, der als einzelner Ausfallpunkt betrachtet werden kann).
Bei der Aktivierung von DoH kann es zu Störungen bei Systemen für die Elternkontrolle und Unternehmensnetzwerken kommen, die eine nur für das interne Netzwerk verfügbare DNS-Namenstruktur zur Umwandlung von Intranet-Adressen und Unternehmenshosts verwenden. Um Probleme mit solchen Systemen zu lösen, wurde ein Überprüfungssystem hinzugefügt, das DoH automatisch deaktiviert. Die Überprüfungen werden bei jedem Start des Browsers oder bei der Feststellung einer Änderung des Subnetzes durchgeführt.
Die automatische Rückkehr zur Verwendung des systemeigenen Resolvers der Betriebssysteme ist ebenfalls vorgesehen, falls Fehler beim Resolving über DoH auftreten (zum Beispiel bei Netzwerkproblemen mit dem DoH-Anbieter oder bei Störungen in dessen Infrastruktur). Der Sinn solcher Prüfungen ist zweifelhaft, da Angreifer, die den Resolver kontrollieren oder in den Datenverkehr eingreifen können, solches Verhalten simulieren können, um die Verschlüsselung des DNS-Datenverkehrs zu deaktivieren. Das Problem wurde durch die Hinzufügung der Option "DoH immer" (standardmäßig nicht aktiviert) zu den Einstellungen gelöst, bei Aktvierung wird die automatische Deaktivierung nicht angewendet, was einen vernünftigen Kompromiss darstellt.
Um die Unternehmensresolver zu bestimmen, werden Überprüfungen untypischer Top-Level-Domains (TLD) und die Rückgabe von Intranet-Adressen durch den Systemresolver durchgeführt. Zur Feststellung der Aktivierung von Inhaltskontrolle wird versucht, den Namen exampleadultsite.com aufzurufen, und wenn das Ergebnis nicht mit der tatsächlichen IP übereinstimmt, gilt die Blockierung von Erwachsenen-Inhalten auf DNS-Ebene als aktiv. Als Anzeichen werden auch die IP-Adressen von Google und YouTube auf Änderungen zu restrict.youtube.com, forcesafesearch.google.com und restrictmoderate.youtube.com überprüft. Zudem Mozilla einen einheitlichen Prüfhost implementieren , den Internetprovider und Dienste zur elterlichen Kontrolle als Markierung zur Deaktivierung von DoH nutzen können (wenn der Host nicht bestimmt werden kann, deaktiviert Firefox DoH).
Die Nutzung eines einheitlichen DoH-Dienstes kann auch potenziell zu Problemen bei der Optimierung des Verkehrs in Content-Delivery-Netzwerken führen, die den Verkehr mithilfe von DNS ausbalancieren (DSN-Server eines CDN-Netzes formuliert die Antwort unter Berücksichtigung der Adresse des Resolvers und gibt den nächstgelegenen Host zur Bereitstellung von Inhalten aus). Das Senden einer DNS-Anfrage von dem nächstgelegenen Resolver des Benutzers in solchen CDNs führt zur Rückgabe der Adresse des nächstgelegenen Hosts des Benutzers. Bei der Sendung einer DNS-Anfrage von einem zentralisierten Resolver wird jedoch die Adresse des Hosts zurückgegeben, der dem DNS-over-HTTPS-Server am nächsten ist. Praktische Tests haben gezeigt, dass die Verwendung von DNS-over-HTTP in Verbindung mit CDN kaum zu Verzögerungen vor dem Start der Inhaltsübertragung führte (bei schnellen Verbindungen betrugen die Verzögerungen maximal 10 Millisekunden, während bei langsamen Verbindungen sogar eine Beschleunigung der Leistung beobachtet wurde). Für die Übertragung von Informationen über den Standort des Clients an den CDN-Resolver wurde auch die Anwendung der EDNS Client Subnet-Erweiterung in Betracht gezogen.
Es sei daran erinnert, dass DoH für die Vermeidung von Leaks über angeforderte Hostnamen durch die DNS-Server der Anbieter, zur Bekämpfung von MITM-Angriffen und zur Manipulation von DNS-Datenverkehr nützlich sein kann, um Blockaden auf DNS-Ebene zu umgehen oder um den Betrieb bei Nichterreichbarkeit der DNS-Server (zum Beispiel beim Arbeiten über einen Proxy) zu ermöglichen. Wenn in der Regel DNS-Anfragen direkt an die im System konfigurierten DNS-Server gesendet werden, wird beim DoH die Anfrage zur IP-Adresse des Hosts in HTTPS-Datenverkehr enkapsuliert und an den HTTP-Server gesendet, auf dem der Resolver die Anfragen über Web-APIs verarbeitet. Der bestehende Standard DNSSEC verschlüsselt nur zur Authentifizierung von Client und Server, schützt jedoch den Datenverkehr nicht vor Abfangen und garantiert keine Vertraulichkeit der Anfragen.
Um DoH in about:config zu aktivieren, sollten Sie den Wert der Variable network.trr.mode ändern, die seit Firefox 60 unterstützt wird. Der Wert 0 deaktiviert DoH vollständig; 1 verwendet DNS oder DoH, je nachdem, was schneller ist; 2 verwendet standardmäßig DoH, wobei DNS als Backup fungiert; 3 verwendet nur DoH; 4 ist der Spiegelungsmodus, in dem DoH und DNS parallel verwendet werden. Standardmäßig wird der DNS-Server von CloudFlare verwendet, dieser kann jedoch über den Parameter network.trr.uri geändert werden, zum Beispiel können Sie „https://dns.google.com/experimental“ oder „https://9.9.9.9/dns-query“ einstellen.
Quelle: opennet.ru
