Asociaciones comerciales , и , defendiendo los intereses de los proveedores de Internet, al Congreso de los Estados Unidos con una solicitud para que preste atención al problema con la implementación de "DNS sobre HTTPS" (DoH, DNS sobre HTTPS) y para solicitar a Google información detallada sobre los planes actuales y futuros para incluir DoH en sus productos, así como para obtener un compromiso de no habilitar el procesamiento centralizado de solicitudes DNS por defecto en Chrome y Android sin una discusión previa exhaustiva con otros representantes del ecosistema y teniendo en cuenta las posibles consecuencias negativas.
Si bien reconocen el beneficio general de usar cifrado para el tráfico DNS, las asociaciones creen que concentrar el control sobre la resolución de nombres en un solo grupo de manos y vincular este mecanismo predeterminado a servicios DNS centralizados es inaceptable. Específicamente, se afirma que Google está avanzando hacia la implementación de DoH por defecto en Android y Chrome, que, si se conectara a los servidores de Google, rompería la naturaleza descentralizada de la infraestructura DNS y crearía un único punto de fallo.
Desde Chrome y Android Dado que Google domina el mercado, imponer sus servidores DoH le permitiría controlar una gran parte del flujo de solicitudes DNS de los usuarios. Además de reducir la fiabilidad de la infraestructura, esta medida le daría a Google una ventaja injusta sobre sus competidores, ya que obtendría información adicional sobre la actividad de los usuarios, la cual podría utilizarse para rastrear dicha actividad y seleccionar publicidad relevante.
El DoH también puede afectar la funcionalidad en áreas como los sistemas de control parental, el acceso a espacios de nombres internos en sistemas corporativos, la selección de rutas en sistemas de optimización de entrega de contenido y el cumplimiento de órdenes judiciales para combatir la distribución de contenido ilegal y la explotación de menores. La suplantación de DNS también se utiliza con frecuencia para redirigir a los usuarios a una página que les informa que su cuenta tiene pocos recursos o para que inicien sesión en una red inalámbrica.
Google , que los temores son infundados, ya que no pretende habilitar DoH por defecto en Chrome y Android. En Chrome 78, la función DoH experimental predeterminada solo se aplicará a los usuarios cuyos proveedores de DNS estén configurados para admitir DoH como alternativa al DNS tradicional. Para quienes usen servidores DNS proporcionados por su ISP local, las consultas DNS seguirán enviándose a través del servidor DNS del sistema. Esto significa que las acciones de Google se limitan a reemplazarlos con un servicio equivalente de su ISP actual para realizar la transición a un método DNS seguro. También se planea implementar DoH experimentalmente en Firefox, pero a diferencia de Google, Mozilla El servidor DNS predeterminado de Cloudflare. Este enfoque ya ha causado del proyecto OpenBSD.
A modo de recordatorio, DoH puede ser útil para prevenir fugas de información sobre los nombres de host solicitados a través de los servidores DNS del ISP, combatir los ataques MITM y la suplantación de tráfico DNS (por ejemplo, al conectarse a una red Wi-Fi pública), contrarrestar el bloqueo a nivel de DNS (DoH no puede reemplazar a una VPN en el área de eludir el bloqueo implementado a nivel de DPI), o para organizar el trabajo en casos donde el acceso directo a los servidores DNS es imposible (por ejemplo, al trabajar a través de un proxy).
Si bien las consultas DNS normalmente se envían directamente a los servidores DNS configurados en el sistema, con DoH, la solicitud para determinar la dirección IP del host se encapsula en tráfico HTTPS y se envía a un servidor HTTP, donde el resolvedor procesa las consultas mediante una API web. El estándar DNSSEC actual utiliza cifrado solo para la autenticación del cliente y del servidor, pero no protege el tráfico de la interceptación ni garantiza la confidencialidad de las consultas. Actualmente, aproximadamente Apoyo al Departamento de Salud.
Fuente: opennet.ru
