Firefoxis toimub katse, mis on seotud DNS-over-HTTPSiga.

Mozilla arendajad teatasid uue uuringu läbiviimisest DNSi rakendamise ettevalmistamise käigus üle HTTPS (DoH, DNS over HTTPS). Uuringu käigus kogutakse teavet statistika kogumiseks seotud peretõkestussüsteemide ja ettevõtte resolvers'ite kasutamise kohta kasutajacommenteeritud Firefoxi versioonides Ameerika Ühendriikides. Eksperimendis osalemise võib loobuda lehelt „about:studies“ (uuring on loetletud kui „Detection Logic for DNS-over-HTTPS“).

Uuringu jaoks kogutakse ankeetandmeid, mis sisaldavad ainult loendureid, ilma konkreetsete aadresside ja domeenideta. Vanusekontrollide süsteemide tuvastamiseks saadetakse päring domeeni exampleadultsite.com määramiseks, ning kui see ei ühti tegeliku IP-ga, on võimalik arvata, et täiskasvanute sisu blokeerimine on aktiivne DNS-i tasandil. Samuti hinnatakse IP-aadressid tagasi saadetud andmeid Google'ile ja YouTube'ile, et kontrollida nende suunamist restrict.youtube.com, forcesafesearch.google.com ja restrictmoderate.youtube.com.

Ettevõtte sisemiste resolverite kasutamise tuvastamiseks kontrollitakse avatud saitide hostid haruldaste tipptasandi domeenide (TLD) juures ja nende vastuseid Intranet-aadresside jaoks. Katse läbiviimise põhjuseks olid mured selle üle, et DNS-over-HTTPS-i vaikimisi lubamine võib häirida toimivaid DNS-i kaudu tööle pandud vanusekontrollisüsteeme ning tekitada probleeme ettevõtte võrkude kasutajatele, kes kasutavad DNS-servereid, mis annavad teavet sisevõrgudomeenide kohta, mis ei ole nähtavad väljaspool võrgus.

Tuletame meelde, et DoH võib olla kasulik, et vältida DNS-serverite kaudu teenusepakkujatelt saadud hostinimede lekkeid, kaitsta MITM-rünnakute ja DNS-i liikluse häirimise eest, vastanduda DNS-tasandi blokeeringutele või korraldada tööd juhul, kui otsene juurdepääs DNS-serveritele pole võimalik (näiteks proxy kaudu töötades). Kui tavaliselt saadetakse DNS-i päringud otse süsteemi konfigureeritud DNS-serveritele, siis DoH-i puhul kapseldatakse hosti IP-aadressi määramise päring HTTPS-i liiklusesse ja saadetakse HTTP-serverisse, kus resolver töötleb päringud läbi Web API. Praegune standard DNSSEC kasutab krüptimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega garanteeri päringute privaatsust.

DoH-i sisse lülitamiseks tuleb about:config-is muuta muutuja network.trr.mode väärtust, mis on toetatud alates Firefox 60-st. Väärtus 0 keelab DoH-i täielikult; 1 – kasutatakse DNS-i või DoH-i, olenevalt sellest, kumb on kiirem; 2 – kasutatakse vaikimisi DoH-i ja DNS-i varuvõtmena; 3 – kasutatakse ainult DoH-i; 4 – peegeldusrežiim, kus DoH ja DNS on samal ajal aktiivsed. Vaikimisi kasutatakse CloudFlare'i DNS-serverit, kuid seda saab muuta parameetri network.trr.uri kaudu, näiteks võib seadistada "https://dns.google.com/experimental" või "https://9.9.9.9/dns-query".

Allikas: opennet.ru