DNS-over-HTTPS on USA kasutajatele vaikimisi sisse lülitatud Firefoxis

Firefoxi arendajad et neil on alles ainult kaks plokki /8. seotud DNS üle HTTPS (DoH, DNS over HTTPS) režiimi vaikimisi aktiveerimisega USA kasutajatele. DNS-i liikluse krüpteerimist peetakse kasutajate kaitse seisukohalt ülioluliseks. Alates tänasest on kõigis uutes installatsioonides, mida teevad USA kasutajad, DoH vaikimisi aktiveeritud. Olemasolevad USA kasutajad plaanitakse DoH-le üle viia mõne nädala jooksul. Euroopa Liidus ja muudes riikides ei plaanita DoH-i vaikimisi aktiveerimist veel. ei plaanita.

DoH aktiveerimisel kuvatakse kasutajale hoiatusteade, mis võimaldab vajadusel loobuda kesksete DoH DNS-serverite kasutamisest ja naasta traditsioonilisse unkrüpteeritud DNS-serverisse pöördumise skeemi. DoH kasutab kindla DoH teenuse sidumist, mis võib olla vaadatav kui ühtne rikke punkt, selle asemel et kasutada hajutatud DNS-resolvijate infrastruktuuri. Praegu on pakkuda töötamist kahe DNS-proviideriga — CloudFlare (vaikimisi) ja NextDNS.

Muuda proviider või keela DoH saab võrguühenduse seadetest. Näiteks võib määrata alternatiivse DoH serveri «https://dns.google/dns-query» Google'i serverite jaoks, «https://dns.quad9.net/dns-query» Quad9 jaoks ja «https://doh.opendns.com/dns-query» OpenDNS jaoks. Ka on olemas seade about:config, kus saab muuta network.trr.mode'i, et muuta DoH töörežiimi: väärtus 0 keelab DoH täielikult; 1 — kasutatakse DNS-i või DoH-d, sõltuvalt sellest, kumb on kiirem; 2 — kasutatakse vaikimisi DoH-d ja DNS-i varuvõtmena; 3 — kasutatakse ainult DoH-d; 4 — peegeldusrežiim, kus DoH ja DNS töötavad paralleelselt.

Tuletame meelde, et DoH võib olla kasulik, et vältida hostinimede päringute lekkeid teenusepakkujate DNS-serverite kaudu, kaitsta man-in-the-middle (MITM) rünnakute ja DNS-i liikluse petmise eest (näiteks kui ollakse ühendatud avalikku Wi-Fi-sse), vastutada DNS-tasandi blokeeringutele (DoH ei saa asendada VPN-i blokeeringute ületamisel, mis on rakendatud DPI tasandil) või korraldada tööd, kui DNS-serveritele otsene juurdepääs ei ole võimalik (näiteks proxy kaudu töötades). Kui tavaliselt saadetakse DNS-päringud otse süsteemi konfiguratsioonis määratud DNS-serveritele, siis DoH puhul kapseldatakse hosti IP-aadressi määramise päring HTTPS-i liiklusesse ja saadetakse HTTP-serverisse, kus resolver töötab päringute kallal Web API kaudu. Olemasolev standard DNSSEC kasutab krüptimist ainult kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega taga päringute konfidentsiaalsust.

Firefoxis pakutavate DoH provisionide valimiseks on sõnastatud nõuded usaldusväärsete DNS-resolvierite kohta, mille kohaselt võib DNS-operatuur kasutada resolvereid saadud andmeid ainult teenuse osutamiseks, ei tohi hoida logisid kauem kui 24 tundi, ei tohi edastada andmeid kolmandatele isikutele ja peab avalikustama andmekäitlusmeetodite kohta teavet. Teenus peab samuti andma lubaduse mitte tsenseerida, mitte filtreerida, mitte sekkuda ega blokeerida DNS-liiklust, välja arvatud olukordades, mis on kooskõlas seadusandlikku.

DoH-i tuleks rakendada ettevaatlikult. Näiteks on Venemaal IP-aadressid 104.16.248.249 ja 104.16.249.249, mis on seotud vaikimisi Firefoxis pakutava DoH-serveriga mozilla.cloudflare-dns.com, loetletud ja loendid lukud Roskomnadzorist Stavropoli linnakohtu nõudel, 10.06.2013.

DoH kasutamine võib samuti põhjustada probleeme sellistes valdkondades nagu vanemlik kontroll, juurdepääs sisemistele domeeninimedele ettevõttesüsteemides, marsruutide valik sisuhalduse optimeerimise süsteemides ning kohtulahendite täitmine ebaseadusliku sisu levimise ja alaealiste ekspluateerimise vastu. Sarnaste probleemide vältimiseks on välja töötatud ja testitud kontrollisüsteem, mis loob automaatselt DoH'i välja lülitamise teatud tingimustel.

Ettevõtte resolvrite määramiseks kontrollitakse ebatüüpilisi ülemisi domeene (TLD) ja süsteemne resolver tagastab intranetiaadresse. Vanemliku kontrolli aktiveerimise määramiseks tehakse katse domeeni exampleadultsite.com resolvimiseks, ja kui tulemus ei vasta tegelikule IP-le, peetakse seda tähiseks, et DNS-i tasemel on täiendav täiskasvanute sisu blokeerimine aktiivne. Samuti kontrollitakse Google'i ja YouTube'i IP-aadresse, et tuvastada nende suunamine restrict.youtube.com, forcesafesearch.google.com ja restrictmoderate.youtube.com. Need kontrollid annavad võimaluse ründajatele, kes juhivad resolvrit või suudavad liiklust häirida, simuleerida sellist käitumist DNS-i liikluse krüpteerimise keelamiseks.

Töötamine üheaegselt DoH-teenuse kaudu võib potentsiaalselt tekitada probleeme sisu edastamise võrkudes (CDN), mis teostavad liikluse tasakaalustamist DNS-i kaudu (CDN-võrgu DNS-server koostab vastuse, arvestades resolveri aadressi ja edastab lähima hosti sisu saamiseks). DNS-päringu saatmine kasutajale lähimast resolverist toob CDN-is tagasi lähima hosti aadressi, kuid keskse resolveri kaudu DNS-päringu saatmine annab DNS-over-HTTPS-serverile lähima hosti aadressi. Praktilised testid näitasid, et DNS-over-HTTP rakendamine CDN-ide kasutamisel ei põhjustanud peaaegu viivitusi sisu edastamise alguses (kiirete ühenduste korral ei ületanud viivitused 10 millisekundit ning aeglasemate sidekanalite puhul täheldati isegi kiiruskasv). CDN-i resolverile kliendi asukoha edastamiseks kaaluti ka EDNS Client Subnet laienduse kasutamist.

Allikas: opennet.ru