DNS-over-HTTPS aktiveeritakse vaikimisi Firefoxis Kanada kasutajatele.

Firefoxi arendajad teatasid DNS-i üle HTTPS (DoH, DNS over HTTPS) režiimi rakendamise laiendamisest, mis lülitatakse vaikesätetena sisse Kanadas elavatele kasutajatele (varem oli DoH vaikesättega saadaval ainult Ameerika Ühendriikides). DoH-i sisseviimine Kanadas toimub järk-järgult: 20. juulil aktiveeritakse DoH 1% Kanadast kasutajatest ja kui ei esine ettenähtud probleeme, ulatub katvus 100%-ni septembri lõpuks.

Kanada Firefoxi kasutajate üleminek DoH-ile toimub CIRA (Canadian Internet Registration Authority) osalusel, kes reguleerib Kanada interneti arengut ning vastutab ülataseme domeeni «ca» eest. Organisatsioon CIRA on samuti liitunud TRR (Trusted Recursive Resolver) programmiga ja on loetletud Firefoxis saadaval olevate DNS-over-HTTPS teenusepakkujatena.

Pärast DoH-i aktiveerimist kuvatakse kasutaja süsteemis hoiatus, mis võimaldab soovi korral DoH-lt loobuda ja jätkata traditsioonilise skeemi kasutamist, kus saadetakse krüpteerimata päringud teenusepakkuja DNS-serverisse. Teenusepakkujat saab muuta või DoH-i välja lülitada võrguühenduse seadetes. CIRA DoH-serverite kõrval on valikus ka Cloudflare ja NextDNS teenused.

Firefoxis pakutavad DoH-i teenusepakkujad valitakse vastavalt usaldusväärsete DNS-resolverite nõuetele, mille kohaselt võib DNS-operator saadud andmeid kasutada ainult teenuse tagamiseks, ei tohi hoida logisid kauem kui 24 tundi, ei tohi edastada andmeid kolmandatele isikutele ning peab avalikustama teavet andmete töötlemise meetodite kohta. Teenus peab samuti andma lubaduse mitte tsenseerida, mitte filtreerida, mitte sekkuda ega blokeerida DNS-i liiklust, välja arvatud seaduse poolt ettenähtud olukordades.

Tuletame meelde, et DoH võib osutuda kasulikuks, et vältida teavet hostinimede päringute lekkimist teenusepakkujate DNS-serverite kaudu, võidelda MITM-rünnakutega ja DNS-i liikluse valeandmete edastamisega (näiteks avalikesse Wi-Fi-võrkudesse sisenemisel), takistada DNS-i tasandi blokeeringuid (DoH ei saa asendada) VPN DPI-tasemeid mööda laadimise vältimise alal) või töö korraldamiseks, kui otsene juurdepääs DNS-serveritele ei ole võimalik (näiteks proxy kaudu töötades). Kui tavalistes olukordades saadetakse DNS-päringud otse konfiguratsioonis määratud DNS-serveritele, siis DoH korral määratakse päring IP-aadressid hostit kapseldatakse HTTPS-i liikluses ja saadetakse HTTP-serverisse, kus resolver töötleb päringud läbi Web API. Olemasolev DNSSEC standard kasutab krüpleerimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ja ei tagasta päringute konfidentsiaalsust.

Allikas: opennet.ru