Folgendes Unternehmen Google über die Absicht, ein Experiment zur Überprüfung der für den Chrome-Browser entwickelten Umsetzung von „DNS über HTTPS“ (DoH, DNS over HTTPS) durchzuführen. In der für den 22. Oktober geplanten Version Chrome 78 werden einige Benutzerkategorien standardmäßig auf die Verwendung von DoH. An dem Experiment zur Aktivierung von DoH werden nur Benutzer teilnehmen, die in ihren aktuellen Systemeinstellungen bestimmte DNS-Anbieter angegeben haben, die als mit DoH kompatibel anerkannt sind.
Die Liste der zugelassenen DNS-Anbieter umfasst Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) und DNS.SB (185.222.222.222, 185.184.222.222). Wenn in den DNS-Einstellungen des Benutzers einer der oben genannten DNS-Server angegeben ist, wird DoH in Chrome standardmäßig aktiviert. Für diejenigen, die die von ihrem lokalen Internetanbieter bereitgestellten DNS-Server verwenden, bleibt alles unverändert und das System wird weiterhin den systemeigenen Resolver für DNS-Anfragen verwenden.
Ein wichtiges Unterscheidungsmerkmal bei der Einführung von DoH in Firefox, wo die schrittweise Standardeinführung von DoH bereits Ende September, ist das Fehlen einer Bindung an einen einzelnen DoH-Dienst. Während in Firefox standardmäßig der DNS-Server CloudFlare verwendet wird, wird in Chrome lediglich die Methode zur Verarbeitung von DNS auf einen gleichwertigen Dienst aktualisiert, ohne den DNS-Anbieter zu wechseln. Beispielsweise, wenn der Benutzer in seinen Systemeinstellungen DNS 8.8.8.8 angegeben hat, wird in Chrome der DoH-Dienst von Google („https://dns.google.com/dns-query“), wenn der DNS 1.1.1.1 ist, wird der DoH-Dienst von Cloudflare („https://cloudflare-dns.com/dns-query“) und
Auf Wunsch kann der Benutzer DoH über die Einstellung „chrome://flags/#dns-over-https“ aktivieren oder deaktivieren. Es gibt drei Arbeitsmodi: „sicher“, „automatisch“ und „aus“. Im Modus „sicher“ werden Hosts nur auf der Grundlage zuvor zwischengespeicherter sicherer Werte (die über eine sichere Verbindung erhalten wurden) und Anfragen über DoH bestimmt, ein Rollback auf das normale DNS wird nicht angewendet. Im Modus „automatisch“ ist es erlaubt, Daten aus einem unsicheren Cache zu beziehen und über traditionelles DNS zu kommunizieren, wenn DoH und der sichere Cache nicht verfügbar sind. Im Modus „aus“ wird zuerst der allgemeine Cache überprüft, und wenn keine Daten vorhanden sind, wird die Anfrage über das systemeigenen DNS gesendet. Der Modus wird über kDnsOverHttpsMode festgelegt, und die Server-Mapping-Vorlage über kDnsOverHttpsTemplates.
Das Experiment zur Aktivierung von DoH wird auf allen von Chrome unterstützten Plattformen durchgeführt, mit Ausnahme von Linux und iOS aufgrund der Komplexität der Konfiguration des Resolvers und der Einschränkung des Zugriffs auf die Systemeinstellungen für DNS. Falls nach der Aktivierung von DoH Störungen beim Senden von Anfragen an den DoH-Server auftreten (zum Beispiel aufgrund von dessen Blockierung, Unterbrechungen der Netzwerkverbindung oder Ausfällen), wird der Browser automatisch zu den systemeigenen DNS-Einstellungen zurückkehren.
Ziel des Experiments ist die endgültige Überprüfung der Implementierung von DoH und die Untersuchung der Auswirkungen von DoH auf die Leistung. Es ist zu beachten, dass die Unterstützung für DoH bereits im Code von Chrome seit Februar besteht, aber für die Konfiguration und Aktivierung von DoH der Start von Chrome mit einem speziellen Flag und einem nicht offensichtlichen Satz von Optionen.
Wir erinnern daran, dass DoH nützlich sein kann, um das Auslaufen von Informationen über abgefragte Hostnamen über die DNS-Server der Anbieter zu verhindern, gegen MITM-Angriffe und DNS-Traffic-Manipulationen (zum Beispiel beim Verbinden mit öffentlichen Wi-Fi-Netzen) vorzugehen, um DNS-Blocking-Mechanismen zu umgehen (DoH kann eine VPN-Verbindung nicht bei der Umgehung von Blockaden, die auf DPI-Ebene implementiert sind, ersetzen) oder um den Betrieb zu organisieren, wenn ein direkter Zugriff auf die DNS-Server nicht möglich ist (zum Beispiel bei der Arbeit über einen Proxy). Während in einer normalen Situation DNS-Anfragen direkt an die in den Systemeinstellungen konfigurierten DNS-Server gesendet werden, wird im Fall von DoH die Anfrage zur Bestimmung der IP-Adresse des Hosts in den HTTPS-Traffic eingekapselt und an einen HTTP-Server gesendet, wo der Resolver die Anfragen über die Web-API verarbeitet. Der bestehende Standard DNSSEC verwendet Verschlüsselung nur zur Authentifizierung von Client und Server, schützt jedoch den Traffic nicht vor Abhörung und garantiert keine Vertraulichkeit der Anfragen.
Quelle: opennet.ru
