Mozilla esitles Firefoxile kolmandat DNS-over-HTTPS teenusepakkujat.

Ettevõte Mozilla kokkuleppe kolmas osalise DNS-serveri leping HTTPS-i kaudu (DoH, DNS üle HTTPS) Firefoxi jaoks. Lisaks varasemalt pakutud CloudFlare'i DNS-serveritele ("https://1.1.1.1/dns-query") ja NextDNS (https://dns.nextdns.io/id), lisatakse seadistustesse ka Comcasti teenus (https://doh.xfinity.com/dns-query). Aktiveeri DoH ja vali teenusepakkuja saab võrguühenduse seadetes.

Tuletame meelde, et Firefoxi 77. versioonis lisati prooviversioon DNS-over-HTTPS-i testimiseks, kus iga klient saatis 10 proovipäringut ja valiti automaatselt DoH teenusepakkuja. See test tuli versioonis 77.0.1, kuna see muutus NextDNS-i suunal DDOS-rünnaku sarnaseks, mis ei suutnud koormust taluda.

Firefoxis pakutavad DoH teenusepakkujad valitakse vastavalt nõudmistele usaldusväärsete DNS-resolvierite kohta, mille kohaselt võib DNS-operatuur kasutada resolvereid saadud andmeid ainult teenuse osutamiseks, ei tohi hoida logisid kauem kui 24 tundi, ei tohi edastada andmeid kolmandatele isikutele ja peab avalikustama andmekäitlusmeetodite kohta teavet. Teenus peab samuti andma lubaduse mitte tsenseerida, mitte filtreerida, mitte sekkuda ega blokeerida DNS-liiklust, välja arvatud olukordades, mis on kooskõlas seadusandlikku.

DNS-over-HTTPS-i seotud sündmustest võib samuti märkida otsuse Apple'i ettevõtte rakendust, mis lisab DNS-over-HTTPS-i ja DNS-over-TLS-i toe tulevastes iOS 14 ja macOS 11 versioonides, samuti vahelehtede kerimise, nagu Firefoxis. WebExtensioni formaadi lisade toe Safari's.

Tuletame meelde, et DoH võib olla kasulik, et vältida hostinimede päringute lekkeid teenusepakkujate DNS-serverite kaudu, kaitsta man-in-the-middle (MITM) rünnakute ja DNS-i liikluse petmise eest (näiteks kui ollakse ühendatud avalikku Wi-Fi-sse), vastutada DNS-tasandi blokeeringutele (DoH ei saa asendada VPN-i blokeeringute ületamisel, mis on rakendatud DPI tasandil) või korraldada tööd, kui DNS-serveritele otsene juurdepääs ei ole võimalik (näiteks proxy kaudu töötades). Kui tavaliselt saadetakse DNS-päringud otse süsteemi konfiguratsioonis määratud DNS-serveritele, siis DoH puhul kapseldatakse hosti IP-aadressi määramise päring HTTPS-i liiklusesse ja saadetakse HTTP-serverisse, kus resolver töötab päringute kallal Web API kaudu. Olemasolev standard DNSSEC kasutab krüptimist ainult kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega taga päringute konfidentsiaalsust.

Allikas: opennet.ru