Mozilla alustab vaikimisi DNS-over-HTTPS'i aktiveerimist Firefoxis

Firefoxi arendajad et neil on alles ainult kaks plokki /8. teatas, et nad lõpetavad DNSi üle HTTPS (DoH, DNS over HTTPS) toe testimise ja kavatsevad septembri lõpus selle tehnoloogia vaikimisi kasutusele võtmiseks USA kasutajatele. Aktiveerimine toimub järk-järgult, alguses mõne protsendi kasutajate hulgas ning probleemide puudumisel suurendatakse see 100%-ni. Pärast USA katmist kaalutakse DoH'i aktiveerimist ka teistes riikides.

Aasta jooksul tehtud testid on näidanud teenuse usaldusväärsust ja head jõudlust ning on samuti võimaldanud tuvastada teatud olukordi, kus DoH võib probleeme põhjustada ning töötada välja lahendusi nende ületamiseks (näiteks on käsitletud probleemile liiklust optimeerimist sisu edastamise võrkudes, vanemlikku kontrolli ja sisemisi ettevõtte DNS-zonasid).

DNS-i liikluse krüpteerimise tähtsust peetakse kasutajate kaitse seisukohalt hädavajalikuks, seetõttu on otsustatud DoH vaikimisi aktiveerida, kuid esialgu ainult USA kasutajatele. DoH'i aktiveerimise järel kuvatakse kasutajale hoiatus, mis võimaldab vajadusel keelduda kesksete DoH DNS-serveritega ühendusest ja tagasi pöörduda traditsiooniliste krüpteerimata DNS-päringute edastamise skeemi juurde (DoH-is kasutatakse määratlemist kindla DoH-teenusega, mis võib tunduda ühe punktina, kus võib sündida tõrgete korral).

DoH'i aktiveerimise korral võib see kahjustada vanemlikku kontrolli ja ettevõtte võrgusüsteemide tööd, mis kasutavad ainult sisemise võrgu DNS-nimede struktuuri intraneti aadresside ja ettevõtte hostide lahendamiseks. Selliste süsteemide probleemide lahendamiseks on lisatud kontrollisüsteem, mis keelab automaatselt DoH. Kontrollid viiakse läbi iga brauseri käivitamise või alamvõrgu muutmise määratlemisel.

Automaatne naasmine operatsioonisüsteemi vaikeresolveri kasutamise juurde on samuti ette nähtud, kui DoH kaudu resolverimise ajal tekivad tõrked (näiteks, kui DoH teenusepakkujaga on võrguühendusele probleeme või tema infrastruktuuris on tõrkeid). Selliste kontrollide tähendus on kaheldav, kuna pole midagi, mis takistaks ründajatel, kes kontrollivad resolveri tööd või suudavad sekkuda liiklusesse, sarnase käitumise simuleerimist, et DNS-i liikluse krüpteerimist välja lülitada. Probleem on lahendatud seadistustesse punkti "DoH alati" lisamisega (vaikimisi mitte aktiivne), mille korral automaatset väljalülitamist ei rakendata, mis on mõistlik tasakaalustatud lahendus.

Ettevõtte resolverite määramiseks viiakse läbi ebatüüpiliste ülitaseme domeenide (TLD) kontrollimine ja intraneti aadresside tagastamine süsteemi resolveri kaudu. Vanemliku kontrolli rakendamise määramiseks tehakse katse resolverida nime exampleadultsite.com, ja kui tulemus ei ühti tegeliku IP-aadressiga, peetakse seda tõendiks, et DNS-i tasemel on keeld täiskasvanutele suunatud sisu osas aktiivne. Täiendavalt kontrollitakse ka Google'i ja YouTube'i IP-aadresse, et tuvastada nende asendamine aadressidega restrict.youtube.com, forcesafesearch.google.com ja restrictmoderate.youtube.com. Lisaks Mozilla pakub dona ühe kontrollema host use-application-dns.net, mida saavad kasutada internetiteenusepakkujad ja vanemliku kontrolli teenused DoH välja lülitamise märgiks (kui hosti ei määrata, keelab Firefox DoH).

Töötamine üheaegselt DoH-teenuse kaudu võib potentsiaalselt tekitada probleeme sisu edastamise võrkudes (CDN), mis teostavad liikluse tasakaalustamist DNS-i kaudu (CDN-võrgu DNS-server koostab vastuse, arvestades resolveri aadressi ja edastab lähima hosti sisu saamiseks). DNS-päringu saatmine kasutajale lähimast resolverist toob CDN-is tagasi lähima hosti aadressi, kuid keskse resolveri kaudu DNS-päringu saatmine annab DNS-over-HTTPS-serverile lähima hosti aadressi. Praktilised testid näitasid, et DNS-over-HTTP rakendamine CDN-ide kasutamisel ei põhjustanud peaaegu viivitusi sisu edastamise alguses (kiirete ühenduste korral ei ületanud viivitused 10 millisekundit ning aeglasemate sidekanalite puhul täheldati isegi kiiruskasv). CDN-i resolverile kliendi asukoha edastamiseks kaaluti ka EDNS Client Subnet laienduse kasutamist.

Tuletame meelde, et DoH võib olla kasulik, et vältida DNS-serverite kaudu teenusepakkujatelt saadud hostinimede lekkeid, kaitsta MITM-rünnakute ja DNS-i liikluse häirimise eest, vastanduda DNS-tasandi blokeeringutele või korraldada tööd juhul, kui otsene juurdepääs DNS-serveritele pole võimalik (näiteks proxy kaudu töötades). Kui tavaliselt saadetakse DNS-i päringud otse süsteemi konfigureeritud DNS-serveritele, siis DoH-i puhul kapseldatakse hosti IP-aadressi määramise päring HTTPS-i liiklusesse ja saadetakse HTTP-serverisse, kus resolver töötleb päringud läbi Web API. Praegune standard DNSSEC kasutab krüptimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega garanteeri päringute privaatsust.

DoH-i sisse lülitamiseks tuleb about:config-is muuta muutuja network.trr.mode väärtust, mis on toetatud alates Firefox 60-st. Väärtus 0 keelab DoH-i täielikult; 1 – kasutatakse DNS-i või DoH-i, olenevalt sellest, kumb on kiirem; 2 – kasutatakse vaikimisi DoH-i ja DNS-i varuvõtmena; 3 – kasutatakse ainult DoH-i; 4 – peegeldusrežiim, kus DoH ja DNS on samal ajal aktiivsed. Vaikimisi kasutatakse CloudFlare'i DNS-serverit, kuid seda saab muuta parameetri network.trr.uri kaudu, näiteks võib seadistada "https://dns.google.com/experimental" või "https://9.9.9.9/dns-query".

Allikas: opennet.ru