La compañía Mozilla un acuerdo con el tercer proveedor de DNS sobre HTTPS (DoH, DNS over HTTPS) para Firefox. Además de los servidores DNS de CloudFlare previamente ofrecidos ("https://1.1.1.1/dns-query") y (), también se incluirá el servicio de Comcast (https://doh.xfinity.com/dns-query). Activar DoH y seleccionar la configuración de la conexión de red.
Cabe recordar que en Firefox 77 se habilitó una prueba de verificación de DNS sobre HTTPS que enviaba 10 solicitudes de prueba por cliente y seleccionaba automáticamente el proveedor de DoH. Esta prueba tuvo que desactivarse en la versión , ya que se convirtió en una especie de ataque DDoS al servicio NextDNS, que no pudo manejar la carga.
Los proveedores de DoH ofrecidos en Firefox son seleccionados de acuerdo con para resolutores DNS de confianza, según los cuales el operador de DNS puede usar los datos recibidos para la resolución únicamente para mantener el servicio, no debe almacenar registros por más de 24 horas, no puede transferir datos a terceros y está obligado a revelar información sobre los métodos de manejo de datos. El servicio también debe comprometerse a no censurar, filtrar, intervenir y bloquear el tráfico DNS, excepto en situaciones previstas por la ley.
Entre los eventos relacionados con DNS sobre HTTPS también se puede mencionar que la empresa Apple implementará soporte para DNS sobre HTTPS y DNS sobre TLS en futuras versiones de iOS 14 y macOS 11, así como soporte para extensiones en formato WebExtension en Safari.
Recordemos que DoH puede ser útil para evitar filtraciones de datos sobre los nombres de host solicitados a través de los servidores DNS de los proveedores, combatir ataques MITM y la suplantación de tráfico DNS (por ejemplo, al conectarse a Wi-Fi público), resistir bloqueos a nivel DNS (DoH no puede reemplazar a una VPN en el área de elusión de bloqueos implementados a nivel DPI) o para operar en caso de incapacidad para conectarse directamente a los servidores DNS (por ejemplo, al trabajar a través de un proxy). En una situación normal, las consultas DNS se envían directamente a los servidores DNS especificados en la configuración del sistema, pero en el caso de DoH, la consulta para determinar la dirección IP del host se encapsula en el tráfico HTTPS y se envía a un servidor HTTP, donde el resolvedor procesa las solicitudes a través de una API web. El estándar existente DNSSEC utiliza cifrado solo para autenticar al cliente y al servidor, pero no protege el tráfico de interceptaciones y no garantiza la privacidad de las consultas.
Fuente: opennet.ru
