Chrome 78-s algavad eksperimendid DNS-over-HTTPS-i sisselülitamisega

Peale selle Mozilla ettevõte Google teatas teatas plaanist läbi viia eksperimenti, et testida brauseri Chrome jaoks arendatavat «DNS üle HTTPS» (DoH, DNS over HTTPS) rakendust. Chrome 78 väljaandmine, mis on planeeritud 22. oktoobriks, toob teatud kasutajagrupile vaikimisi üle DoH kasutuselevõtu. DoH-i katsetuses osaleb ainult need kasutajad, kelle süsteemi seadetes on määratud teatud DNS-teenusepakkujad, mis on DoH-iga ühilduvad.

DNS-teenusepakkujate valgesse nimekirja on lisatud teenuseid Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) ja DNS.SB (185.222.222.222, 185.184.222.222). Kui kasutaja DNS-seadetes on üks eespool nimetatud DNS-serveritest, siis saab DoH Chrome'is vaikimisi aktiveeritud. Need, kes kasutavad kohaliku Interneti-teenusepakkuja DNS-servereid, jäävad alles samaks ja DNS-päringute jaoks jätkatakse süsteemi resolveri kasutamist.

Oluline erinevus DoH-i kasutuselevõtus Firefoxis, kus DoH-i vaikimisi sisse lülitamine algab juba septembri lõpus, on seos ühe DoH-teenusega puudumine. Kui Firefoxis on vaikimisi kasutatakse CloudFlare'i DNS-server, siis Chrome'is toimub lihtsalt DNS-i haldamise meetodi uuendamine samaväärse teenusega, ilma DNS-teenusepakkujat vahetamata. Näiteks, kui kasutaja süsteemi seadetes on määratud DNS 8.8.8.8, siis Chrome'is oleks aktiveeritud Google'i DoH-teenus («https://dns.google.com/dns-query»), kui DNS on 1.1.1.1, siis DoH teenus Cloudflare («https://cloudflare-dns.com/dns-query») ja jne.

Kasutaja saab soovi korral DoH-i lubada või keelata, kasutades seadistust «chrome://flags/#dns-over-https». Toetatakse kolme töörežiimi: «secure», «automatic» ja «off». Režiimis «secure» määratakse hostid ainult varasemate turvaliste väärtuste (saadud läbi kaitstud ühenduse) ja DoH kaudu tehtud päringute põhjal, tavalise DNS-i tagasi ei pöörduta. Režiimis «automatic» on DoH ja kaitstud cache puudumisel lubatud andmete saamine ebaturvalisest cache'ist ja pöördumine traditsioonilise DNS-i kaudu. Režiimis «off» kontrollitakse esmalt ühiskasutatavat cache'i ja kui andmeid pole, saadetakse päring läbi süsteemi DNS-i. Režiim määratakse seadistuse kDnsOverHttpsMode kaudu, ning serverite vastemall läbi kDnsOverHttpsTemplates.

DoH-katsetus viiakse läbi kõikidel Chrome'i toetatud platvormidel, välja arvatud Linux ja iOS, kuna resolvija seadete analüüs on keeruline ja juurdepääs süsteemsete DNS-seadeteni on piiratud. Kui pärast DoH-ide lubamist tekivad probleemid DoH-serveriga päringute saatmisel (nt selle blokeerimise, võrguühenduse rikkumise või rikke tõttu), naaseb brauser automaatselt süsteemi DNS-seadetele.

Katse eesmärk on DoH-i rakenduse lõplik kontrollimine ja DoH-i kasutamise mõju uurimine jõudlusele. Tuleb märkida, et DoH-i tugi viidi lisatud Chrome'i koodibaasi juba veebruaris, kuid DoH-i seadistamiseks ja lubamiseks oli vajalik Chrome'i käivitamine spetsiaalse lipu ja mitte-eelneva valikute kogumiga.

Tuletame meelde, et DoH võib olla kasulik, et vältida teabe leket, mis puudutab küsitavaid hostinimesid, läbi teenusepakkujate DNS-serverite, võidelda MITM-rünnakute ja DNS-trafiku manipuleerimisega (nt avalike Wi-Fi-de puhul), vastanduda DNS-tasandi blokeeringutele (DoH ei saa asendada VPN-i blokeeringute ületamisel, mis on rakendatud DPI-tasandil) või korraldada tööd, kui otsene juurdepääs DNS-serveritele pole võimalik (nt töötades läbi proksi). Tavapärastes tingimustes saadetakse DNS-päringud otse süsteemi konfiguratsioonis määratud DNS-serveritele, aga DoH-i korral kapseldatakse hosti IP-aadressi määramise päring HTTPS-traffikus ja saadetakse HTTP-serverisse, kus resolvija töötleb päringuid Web API kaudu. Olemasolev DNSSEC standard kasutab krüpteerimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse traffikut pealtkuulamise eest ning ei garanteeri päringute konfidentsiaalsust.

Allikas: opennet.ru