Die Entwickler von Firefox haben die Erweiterung der Nutzung des DNS über HTTPS (DoH) angekündigt, die standardmäßig für Nutzer in Kanada aktiviert wird (zuvor wurde DoH standardmäßig nur in den USA verwendet). Die Aktivierung von DoH für Nutzer in Kanada erfolgt schrittweise: Am 20. Juli wird DoH für 1 % der Nutzer in Kanada aktiviert, und wenn keine unvorhergesehenen Probleme auftreten, wird der Anteil bis Ende September auf 100 % erhöht.
Die Umstellung der kanadischen Nutzer von Firefox auf DoH erfolgt in Zusammenarbeit mit der CIRA (Canadian Internet Registration Authority), die für die Entwicklung des Internets in Kanada zuständig ist und die Top-Level-Domain „ca“ verwaltet. Die Organisation CIRA hat sich auch dem Programm TRR (Trusted Recursive Resolver) angeschlossen und ist Teil der Anbieter von DNS-over-HTTPS, die in Firefox verfügbar sind.
Nach der Aktivierung von DoH wird den Nutzern eine Warnmeldung angezeigt, die ihnen die Möglichkeit gibt, auf DoH zu verzichten und weiterhin die traditionelle Methode zur Übermittlung unverschlüsselter Anfragen an den DNS-Server des Anbieters zu verwenden. Den Anbieter oder die Deaktivierung von DoH kann in den Netzwerkeinstellungen geändert werden. Neben den DoH-Servern von CIRA können auch die Dienste von Cloudflare und NextDNS ausgewählt werden.
Die in Firefox angebotenen DoH-Anbieter werden anhand der Anforderungen für vertrauenswürdige DNS-Resolver ausgewählt, wonach der DNS-Betreiber die zur Auflösung verwendeten Daten nur zur Bereitstellung des Dienstes nutzen und Protokolle nicht länger als 24 Stunden speichern darf, keine Daten an Dritte weitergeben und Informationen über die Methodik der Datenverarbeitung offenlegen muss. Der Dienst muss auch verpflichtet sein, DNS-Verkehr nicht zu zensieren, zu filtern, einzugreifen oder zu blockieren, es sei denn, die Gesetze verlangen dies.
Es sei daran erinnert, dass DoH nützlich sein kann, um Datenlecks über angeforderte Hostnamen durch die DNS-Server der Anbieter zu verhindern, um MITM-Angriffe und DNS-Verkehrsmanipulation (zum Beispiel bei der Verbindung zu öffentlichen WLANs) zu bekämpfen und um DNS-Sperren entgegenzuwirken (DoH kann nicht ersetzen) VPN im Bereich der Umgehung von Blockaden, die auf der DPI-Ebene implementiert wurden) oder um die Arbeit zu organisieren, falls eine direkte Verbindung zu DNS-Servern nicht möglich ist (z. B. bei der Arbeit über einen Proxy). Während in einer normalen Situation DNS-Anfragen direkt an die im Systemkonfigurations definierten DNS-Server gesendet werden, wird bei DoH die Anfrage zur Bestimmung IP-Adressen des Hosts in den HTTPS-Verkehr gekapselt und an einen HTTP-Server gesendet, auf dem der Resolver die Anfragen über die Web-API verarbeitet. Der bestehende Standard DNSSEC verwendet Verschlüsselung nur zur Authentifizierung des Clients und Servers, schützt jedoch den Verkehr nicht vor Abhörung und garantiert nicht die Vertraulichkeit der Anfragen.
Quelle: opennet.ru
