Asociaciones comerciales , y , que defienden los intereses de los proveedores de Internet, al Congreso de EE. UU. solicitando atención sobre el problema de la implementación de 'DNS sobre HTTPS' (DoH, DNS over HTTPS) y pidiendo a Google información detallada sobre los planes actuales y futuros para incluir DoH en sus productos, así como un compromiso de no habilitar por defecto el procesamiento centralizado de solicitudes DNS en Chrome y Android sin una discusión exhaustiva previa con otros representantes del ecosistema y considerando las posibles consecuencias negativas.
Entendiendo el beneficio general de aplicar el cifrado para el tráfico DNS, las asociaciones consideran inaceptable centralizar el control sobre la resolución de nombres en unas pocas manos y vincular este mecanismo por defecto a servicios DNS centralizados. En particular, se afirma que Google se está moviendo hacia la implementación de DoH por defecto en Android y Chrome, lo que llevaría a comprometer la naturaleza descentralizada de la infraestructura DNS y a crear un único punto de fallo.
Dado que Chrome y Android dominan el mercado, en caso de imponer sus servidores DoH, Google tendría la capacidad de controlar la mayoría de los flujos de solicitudes DNS de los usuarios. Además de disminuir la fiabilidad de la infraestructura, este paso también otorgaría a Google ventajas indebidas sobre sus competidores, ya que la compañía obtendría información adicional sobre las acciones de los usuarios, que podría ser utilizada para rastrear la actividad de los usuarios y orientar publicidad relevante.
La implementación de DoH también podría afectar áreas como los sistemas de control parental, el acceso a espacios de nombres internos en sistemas corporativos, la selección de rutas en sistemas de optimización de entrega de contenido y el cumplimiento de órdenes judiciales en la lucha contra la difusión de contenido ilegal y la explotación de menores. La suplantación de DNS también se utiliza a menudo para redirigir a los usuarios a una página informando sobre la falta de fondos del abonado o para acceder a una red inalámbrica.
La empresa Google , lo que hace que los temores sean infundados, ya que no tiene intención de habilitar DoH por defecto en Chrome y Android. En Chrome 78, la activación experimental por defecto de DoH cubrirá solo a los usuarios cuyas configuraciones indiquen proveedores de DNS que ofrezcan la opción de usar DoH como alternativa a los DNS tradicionales. Para aquellos que utilizan servidores DNS proporcionados por su proveedor local de internet, las solicitudes DNS continuarán siendo enviadas a través del resolutor del sistema. Es decir, las acciones de Google se limitan a reemplazarlo por un servicio equivalente del proveedor actual para cambiar a un método de trabajo de DNS seguro. La activación experimental de DoH también está prevista en Firefox, pero a diferencia de Google, la empresa Mozilla utiliza como servidor DNS por defecto a CloudFlare. Este enfoque ya ha generado reacciones por parte del proyecto OpenBSD.
Recordemos que DoH puede ser útil para evitar filtraciones de información sobre los nombres de host solicitados a través de los servidores DNS de los proveedores, combatir ataques MITM y la suplantación del tráfico DNS (por ejemplo, al conectarse a Wi-Fi públicos), resistir bloqueos a nivel de DNS (DoH no puede sustituir a una VPN en la elusión de bloqueos implementados a nivel de DPI) o para organizar el trabajo en caso de que no sea posible acceder directamente a los servidores DNS (por ejemplo, al trabajar a través de un proxy).
Si en una situación normal las solicitudes DNS se envían directamente a los servidores DNS especificados en la configuración del sistema, en el caso de DoH, la solicitud para determinar la dirección IP de un host se encapsula en el tráfico HTTPS y se envía a un servidor HTTP, donde el resolutor procesa las solicitudes a través de la API web. El estándar existente DNSSEC utiliza cifrado solo para la autenticación del cliente y del servidor, pero no protege el tráfico de interceptaciones y no garantiza la confidencialidad de las solicitudes. En la actualidad, alrededor de soportan DoH.
Fuente: opennet.ru
