Analüüsime arvamusi HTTPS-i kaudu kasutatava DNS-i funktsioonide kohta, mis on viimasel ajal muutunud Interneti-pakkujate ja brauseri arendajate seas "tüliõunaks".
/Unsplash/
Lahkarvamuse olemus
Viimasel ajal и (sealhulgas Habr) kirjutavad nad sageli DNS-i üle HTTPS-i (DoH) protokollist. See krüpteerib DNS-serveri päringud ja neile vastused. See lähenemine võimaldab peita nende hostide nimed, millele kasutaja juurde pääseb. Väljaannetest võime järeldada, et uus protokoll (IETF-is aastal 2018) jagas IT-kogukonna kahte leeri.
Pooled usuvad, et uus protokoll parandab Interneti-turvalisust ja juurutavad seda oma rakendustes ja teenustes. Teine pool on veendunud, et tehnoloogia teeb süsteemiadministraatorite töö ainult raskemaks. Järgmisena analüüsime mõlema poole argumente.
Kuidas DoH töötab
Enne kui jõuame sellesse, miks Interneti-teenuse pakkujad ja teised turuosalised on HTTPS-i kaudu DNS-i poolt või vastu, vaatame lühidalt selle toimimist.
DoH puhul on IP-aadressi määramise taotlus kapseldatud HTTPS-i liiklusesse. Seejärel läheb see HTTP serverisse, kus seda API abil töödeldakse. Siin on näidistaotlus RFC 8484 ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
Seega on DNS-liiklus HTTPS-liikluses peidetud. Klient ja server suhtlevad standardse pordi 443 kaudu. Selle tulemusena jäävad domeeninimesüsteemi päringud anonüümseks.
Miks teda ei soosita?
DNS-i vastased HTTPS-i kaudu et uus protokoll vähendab ühenduste turvalisust. Kõrval DNS-i arendusmeeskonna liige Paul Vixie muudab süsteemiadministraatorite jaoks potentsiaalselt pahatahtlike saitide blokeerimise keerulisemaks. Tavakasutajad kaotavad võimaluse seadistada brauserites tingimuslikku vanemlikku järelevalvet.
Pauli seisukohti jagavad Ühendkuningriigi internetiteenuse pakkujad. Riigi seadusandlus blokeerige need keelatud sisuga ressurssidest. Kuid DoH-i tugi brauserites muudab liikluse filtreerimise keerulisemaks. Uue protokolli kriitikute hulka kuulub ka Inglismaa valitsuse kommunikatsioonikeskus () ja Internet Watch Foundation (), mis peab blokeeritud ressursside registrit.
Meie blogis Habré kohta:
Eksperdid märgivad, et HTTPS-i kaudu töötav DNS võib muutuda küberturvalisuse ohuks. Juuli alguses infoturbe spetsialistid Netlabist esimene viirus, mis kasutas uut protokolli DDoS-i rünnakute läbiviimiseks - . Pahavara pöördus DoH-i, et hankida tekstikirjeid (TXT) ning ekstraktida käsu- ja juhtimisserveri URL-e.
Viirusetõrjetarkvara ei tuvastanud krüptitud DoH taotlusi. Infoturbe spetsialistid et pärast Godluat tuleb mõni muu pahavara, mis on passiivse DNS-i jälgimise jaoks nähtamatu.
Kuid mitte kõik pole selle vastu
DNS-i kaitseks HTTPS-i kaudu oma ajaveebis APNIC insener Geoff Houston. Tema sõnul võimaldab uus protokoll võidelda viimasel ajal järjest enam levinud DNS-i kaaperdamise rünnakutega. See asjaolu Küberjulgeolekufirma FireEye jaanuari aruanne. Protokolli väljatöötamist toetasid ka suured IT-ettevõtted.
Eelmise aasta alguses hakati DoH-d Google'is testima. Ja kuu aega tagasi firma DoH-teenuse üldine saadavuse versioon. Google'is , et see suurendab võrgus olevate isikuandmete turvalisust ja kaitseb MITM-i rünnakute eest.
Teine brauseri arendaja - Mozilla - DNS HTTPS-i kaudu eelmisest suvest. Samal ajal tegeleb ettevõte aktiivselt uue tehnoloogia propageerimisega IT-keskkonnas. Selleks on Interneti-teenuste pakkujate ühendus (ISPA) Mozilla aasta Interneti pahalase auhinnaks. Vastuseks firma esindajad , kes on pettunud telekommunikatsioonioperaatorite vastumeelsusest oma vananenud Interneti-taristut parandada.
/Unsplash/
Mozilla toetuseks ja mõned Interneti-pakkujad. Eelkõige British Telecomis et uus protokoll ei mõjuta sisu filtreerimist ja parandab Ühendkuningriigi kasutajate turvalisust. Avalikkuse survel ISPA "kurikaela" nominatsioon.
Pilvepakkujad pooldasid ka näiteks DNS-i kasutuselevõttu HTTPS-i kaudu . Nad pakuvad juba uuel protokollil põhinevaid DNS-teenuseid. DoH-d toetavate brauserite ja klientide täielik loend on saadaval aadressil .
Igatahes ei saa veel rääkida kahe leeri vastasseisu lõpust. IT-eksperdid ennustavad, et kui DNS-i üle HTTPS-i on määratud saama osaks peavoolu Interneti-tehnoloogiavirnast, võtab see aega .
Millest veel oma ettevõtte ajaveebis kirjutame:
Allikas: www.habr.com