„Er liebt und liebt nicht“: DNS über HTTPS

Wir betrachten die Meinungen zu den Besonderheiten von DNS over HTTPS, die in letzter Zeit zum "Streitpunkt" unter Internetanbietern und Browserentwicklern geworden sind.

/ Unsplash / Steve Halama

Das Wesen der Meinungsverschiedenheiten

In letzter Zeit große Medien und spezialisierte Plattformen (darunter Habr), berichten häufig über das Protokoll DNS over HTTPS (DoH). Es verschlüsselt Anfragen an DNS-Server sowie deren Antworten. Dieser Ansatz ermöglicht es, die Hostnamen zu verbergen, auf die der Benutzer zugreift. Aus den Publikationen kann man den Schluss ziehen, dass das neue Protokoll (in IETF wurde es genehmigt im Jahr 2018) die IT-Community in zwei Lager gespalten hat.

Die eine Hälfte glaubt, dass das neue Protokoll die Sicherheit des Internets erhöht und implementiert es in ihren Anwendungen und Diensten. Die andere Hälfte ist überzeugt, dass die Technologie nur die Arbeit der Systemadministratoren kompliziert. Im Folgenden betrachten wir die Argumente beider Seiten.

Wie DoH funktioniert

Bevor wir darüber sprechen, warum Internetanbieter und andere Marktteilnehmer für oder gegen DNS over HTTPS sind, betrachten wir kurz die Funktionsweise.

Im Fall von DoH wird die Anfrage zur Ermittlung der IP-Adresse im HTTPS-Verkehr verpackt. Anschließend geht sie an einen HTTP-Server, wo sie mithilfe von API verarbeitet wird. Hier ist ein Beispiel einer Anfrage aus RFC 8484 (S. 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Somit ist der DNS-Verkehr im HTTPS-Verkehr verborgen. Client und Server kommunizieren über den Standardport 443. Infolgedessen bleiben die Anfragen an das Domain Name System anonym.

Warum es nicht beliebt ist

Gegner von DNS over HTTPS sagen, dass das neue Protokoll die Sicherheit der Verbindungen verringert. Laut Aussage Paul Vixie, einem Mitglied des DNS-Entwicklungsteams, wird es für Systemadministratoren schwieriger sein, potenziell schädliche Websites zu blockieren. Normalbenutzer verlieren dabei die Möglichkeit, eine Art elterliche Kontrolle in Browsern einzurichten.

Die Meinung von Paul wird von Internetanbietern in Großbritannien geteilt. Die Gesetzgebung des Landes verpflichtet sie dazu, Inhalte mit verbotenen Inhalten zu blockieren. Aber die Unterstützung von DoH in Browsern erschwert die Aufgabe der Verkehrsfilterung. Zu den Kritikern des neuen Protokolls gehört auch das Government Communications Headquarters (GCHQ) und die Internet Watch Foundation (IWF), die ein Register blockierter Ressourcen führt.

In unserem Blog auf Habr:

• Der Krieg gegen Robocalls in den USA – wer gewinnt und warum
• Britische Telekommunikationsunternehmen werden Abonnenten Entschädigungen für Verbindungsunterbrechungen zahlen.

Experten stellen fest, dass DNS über HTTPS eine Bedrohung für die Cybersicherheit darstellen könnte. Anfang Juli berichteten Sicherheitsexperten von Netlab, 14 Millionen IP-Adressen entdeckt. Mehr als die Hälfte davon beschlossen, sie an bedürftige Unternehmen weiterzuverkaufen. der erste Virus, der das neue Protokoll für DDoS-Angriffe nutzte — Godlua. Die Schadsoftware griff auf DoH zurück, um Textdatensätze (TXT) abzurufen und URLs von Kontrollservern zu extrahieren.

Verschlüsselte DoH-Anfragen wurden von Antivirensoftware nicht erkannt. Sicherheitsexperten befürchten, dass nach Godlua weitere Schadsoftware folgen wird, die für passives DNS-Monitoring unsichtbar ist.

Aber nicht alle sind dagegen.

Zur Verteidigung von DNS über HTTPS äußerte sich auf seinem Blog ausgesprochen Ingenieur von APNIC Geoff Houston. Laut ihm wird das neue Protokoll helfen, mit DNS-Hijacking-Angriffen umzugehen, die in letzter Zeit zunehmend verbreitet sind. Dieser Fakt bestätigt führt auf einen Bericht von FireEye aus Januar. Die Entwicklung des Protokolls wurde auch von großen IT-Unternehmen unterstützt.

Bereits zu Beginn des letzten Jahres begann Google mit Tests von DoH. Vor einem Monat veröffentlichte das Unternehmen hat die General Availability-Version seines DoH-Services. Bei Google hofft man, dass es die Sicherheit personenbezogener Daten im Netz erhöht und vor MITM-Angriffen schützt.

Ein anderer Browserentwickler — Mozilla — unterstützt setzt seit dem Sommer letzten Jahres auf DNS über HTTPS. Gleichzeitig fördert das Unternehmen aktiv die neue Technologie in der IT-Community. Dafür erhielt die Internet Service Providers Association (ISPA) sogar eine Nominierung Mozilla für den "Internet-Schurken des Jahres". Im Gegenzug äußerten Vertreter des Unternehmens angemerkt wurde, dass sie enttäuscht sind über den Widerstand der Telekommunikationsanbieter gegen die Verbesserung der veralteten Internetinfrastruktur.

/ Unsplash / TETrebbien

Große Medien und einige Internetanbieter haben sich zugunsten von Mozilla geäußert. Insbesondere erklärte British Telecom , dass das neue Protokoll die Inhaltsfilterung nicht beeinträchtigen und die Sicherheit britischer Nutzer erhöhen wird. Unter dem Druck der Öffentlichkeit sah sich die ISPA sehen das so.gezwungen, die "schurkenhafte" Nominierung zurückzuziehen. Auch Cloud-Anbieter sprachen sich für die Implementierung von DNS über HTTPS aus, zum Beispiel

. Sie bieten bereits DNS-Dienste basierend auf dem neuen Protokoll an. Eine vollständige Liste von Browsern und Clients, die DoH unterstützen, finden Sie auf CloudflareIn jedem Fall ist es verfrüht, über das Ende der Auseinandersetzung zwischen den beiden Lagern zu sprechen. IT-Experten prognostizieren, dass es Jahrzehnte dauern wird, bis DNS über HTTPS Teil des Massenstapels von Internettechnologien wird. GitHub.

nicht ein einziges Jahrzehnt. muss..

Worüber wir sonst noch in unserem Unternehmensblog schreiben:

• Wie das Netzwerk des Internetanbieters aufgebaut ist
• Die Hauptdienste in den Netzwerken des Internetanbieters
• Konvergenz und Vereinheitlichung — mehrere Aufgaben auf einem Gerät

Quelle: habr.com