USA teeniteenusepakkujate assotsiatsioonid seisavad vastu keskse kureerimisele DNS-over-HTTPS'i rakendamisel

Kaupade assotsiatsioonid NCTA, CTIA ja USTelecom, kes kaitsevad internetiteenusepakkujate huve, on pöördunud USA Kongressi poole palvega pöörata tähelepanu probleemile "DNS HTTPS-i kaudu" (DoH, DNS over HTTPS) ja küsida Google'ilt üksikasjalikku teavet DoH-i rakendamise praeguste ja tulevaste plaanide kohta ning nõuda kohustust mitte aktiveerida vaikimisi tsentraliseeritud DNS-päringute töötlemist Chrome'is ja Androidis ilma eelneva laiaulatusliku aruteluta teiste ökosüsteemi esindajatega ja arvesse võttes võimalikke negatiivseid tagajärgi.

Mõistes krüpteerimise kasutamise üldist kasu DNS-i liikluses, peavad assotsiatsioonid ühemõtteliselt valeseks kesksete kätesse kontsentreerumisega kontrolli nimekasutuse üle ning selle mehhanismi vaikimisi sidumisega tsentraliseeritud DNS-teenustega. Eriti väidetakse, et Google liigub suunas DoH-i vaikimisi rakendamise suunas Androidis ja Chrome'is, mis seondub Google'i serveritega, viib DNS-infrastruktuuri detsentraliseerimise iseloomu rikkumiseni ja ainulaadse talitlushäire punkti tekkimiseni.

Kuna Chrome ja Android valitsevad turul, annab Google'ile DoH-serverite pealesurumisel võimaluse kontrollida suurt osa kasutajate DNS-päringute voogudest. Lisaks infrastruktuuri usaldusväärsuse vähenemisele annab see samas Google'ile õigustamatud eelised konkurentide ees, kuna ettevõte saab lisainfot kasutajate tegevuse kohta, mida saab kasutada kasutaja aktiivsuse jälgimiseks ja asjakohase reklaami kuvamiseks.

DoH-i rakendamine võib kahjustada ka selliseid valdkondi nagu vanema kontrolli süsteemid, juurdepääs sisemistele nimedele ettevõttesisestes süsteemides, marsruudivalik sisuhalduse optimeerimise süsteemides ning kohtupoolsete määruste täitmine ebaseadusliku sisu leviku ja alaealiste ekspluateerimise vastu. DNS-i väärkasutamine kasutatakse sageli kasutajate suunamiseks informatsiooni lehele, kui abonendi rahalised vahendid on lõppenud või traadita võrku sisenemiseks.

Google'i ettevõte teatanud, mistõttu on mured alusetud, kuna nad ei plaani vaikimisi DoH-i aktiveerida Chrome'is ja Androidis. Tähistatud Chromis 78 eksperimendiline DoH vaikimisi aktiveerimine katab ainult kasutajaid, kelle seadetesse on konfigureeritud DNS-teenuse pakkujad, kes võimaldavad DoH-i kasutamist traditsiooniliste DNS-teenuste alternatiivina. Neile, kes kasutavad kohaliku interneti teenuse pakkuja poolt pakutavaid DNS-servereid, saadetakse DNS-päringud siiski süsteemi resolveri kaudu. See tähendab, et Google'i tegevus seisneb vaid praeguse teenuse pakkuja teenuse ekvivalentse teenuse asendamises, et liikuda DNS-i turvalisemasse töötamismeetodisse. Firefoxis plaanitakse ka eksperimendiline DoH aktiveerimine, kuid erinevalt Google'ist on Mozilla kavas kasutama vaikimisi DNS-server CloudFlare. See lähenemine on juba käivitanud , kuna termin replica on pigem seotud andmebaasidega ning moonutab tähendust helisüsteemi kontekstis. Lõpuks valiti asendamiseks vastuolu OpenBSD projektist.

Tuletame meelde, et DoH võib olla kasulik, et vältida teavet, mis lekib DNS-serverite kaudu, kämpida MITM-rünnakute ja DNS-liikluse asendamisega (näiteks avalikus Wi-Fi-ühenduses), vastanduda DNS tasemel blokeerimisele (DoH ei suuda asendada VPN-i blokeeringute ületamisel, mis on rakendatud DPI tasemel) või korraldada töötamine, kui otsene juurdepääs DNS-serveritele ei ole võimalik (näiteks läbi proksi töötades).

Kui normaalses olukorras saadetakse DNS-päringud otse süsteemi konfiguratsioonis määratud DNS-serveritele, siis DoH korral kapseldatakse hosti IP-aadressi määramise päring HTTPS-i liikluses ja saadetakse HTTP-serverile, kus resolver töötab päringud Web API kaudu. Ahnne standard DNSSEC kasutab krüpteerimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega garanteeri päringute konfidentsiaalsust. Praegu toetab umbes 30 avalikku DNS-serverit DoH-i.

Allikas: opennet.ru