Die Entwickler von Firefox haben angekündigt, die Anwendung des DNS über HTTPS (DoH) auszudehnen, die standardmäßig für Nutzer in Kanada aktiviert wird (zuvor wurde DoH standardmäßig nur für die USA angewendet). Die Aktivierung von DoH für Nutzer in Kanada erfolgt schrittweise: Am 20. Juli wird DoH für 1 % der Nutzer in Kanada aktiviert, und wenn es keine unvorhergesehenen Probleme gibt, wird die Abdeckung bis Ende September auf 100 % ausgeweitet.
Die Umstellung der kanadischen Nutzer von Firefox auf DoH erfolgt in Zusammenarbeit mit der CIRA (Canadian Internet Registration Authority), die die Entwicklung des Internets in Kanada reguliert und für die Top-Level-Domain „ca“ zuständig ist. Die CIRA hat sich ebenfalls dem TRR-Programm (Trusted Recursive Resolver) angeschlossen und gehört zu den Anbietern von DNS-over-HTTPS, die in Firefox verfügbar sind.
Nach der Aktivierung von DoH wird der Benutzer über eine Warnmeldung informiert, die es ihm ermöglicht, den Wechsel zu DoH abzulehnen und die traditionelle Methode der unverschlüsselten DNS-Abfragen an den DNS-Server des Anbieters fortzusetzen. Den Anbieter zu ändern oder DoH zu deaktivieren, kann in den Einstellungen der Netzwerkverbindung erfolgen. Neben den DoH-Servern von CIRA können auch die Dienste von Cloudflare und NextDNS ausgewählt werden.
Die in Firefox angebotenen DoH-Anbieter werden anhand von Anforderungen an vertrauenswürdige DNS-Resolver ausgewählt. Diese Vorschriften verlangen, dass der DNS-Betreiber die zur Auflösung verwendeten Daten nur zur Bereitstellung des Dienstes nutzen darf, keine Protokolle länger als 24 Stunden speichern darf, keine Daten an Dritte weitergeben darf und verpflichtet ist, Informationen zu den Datenverarbeitungsmethoden offenzulegen. Der Dienst muss außerdem die Verpflichtung eingehen, DNS-Verkehr nicht zu zensieren, zu filtern, einzugreifen oder zu blockieren, es sei denn, dies ist gesetzlich vorgeschrieben.
Es ist wichtig zu beachten, dass DoH nützlich sein kann, um das Entweichen von Informationen über angeforderte Hostnamen durch die DNS-Server der Provider zu verhindern, gegen MITM-Angriffe vorzugehen und die DNS-Datenübertragung (zum Beispiel bei der Verbindung mit öffentlichen WLANs) zu schützen, sowie DNS-Blockaden entgegenzuwirken (DoH kann nicht die VPN Umgehung von Blockaden ersetzen, die auf DPI-Ebene implementiert sind) oder um den Betrieb bei Unfähigkeit zur direkten Verbindung mit DNS-Servern zu ermöglichen (z. B. beim Arbeiten über einen Proxy). Während normalerweise DNS-Anfragen direkt an die in der Systemkonfiguration definierten DNS-Server gesendet werden, wird bei DoH die Anfrage zur Bestimmung des IP-Adressen Hosts in den HTTPS-Traffic eingebettet und an einen HTTP-Server gesendet, auf dem der Resolver die Anfragen über die Web-API verarbeitet. Der bestehende Standard DNSSEC verwendet Verschlüsselung lediglich zur Authentifizierung des Clients und Servers, schützt jedoch den Datenverkehr nicht vor Abhörungen und garantiert keine Vertraulichkeit der Anfragen.
Quelle: opennet.ru
