DNS-server BIND on lisatud katsetuslik tugi DNS-over-HTTPS-ile.

DNS-serveri BIND arendajad teatasid, et on lisanud eksperimendi haru 9.17 serveripoolset suporti tehnoloogiatele "DNS üle HTTPS" (DoH, DNS over HTTPS) ja DNS üle TLS (DoT, DNS over TLS), ning ka mehhanismi XFR-over-TLS DNS tsoonide turvaliseks edastamiseks serverite vahel. DoH on saadaval testimiseks väljaandes 9.17.10, samas kui DoT toe olemasolu algab versioonist 9.17.7. Pärast stabiliseerumist tagatakse DoT ja DoH toed ka stabiilsesse haru 9.16.

HTTP/2 protokolli teostus, mida kasutatakse DoH’is, põhineb raamatukogu nghttp2 kasutamisel, mis on lisatud ehituslike sõltuvuste hulka (hiljem plaanitakse raamatukogu viia valikuliste sõltuvuste hulka). Toetatakse nii krüpteeritud (TLS) kui ka krüpteerimata ühendusi HTTP/2 kaudu. Vastavalt seadistustele võib üks named protsess nüüd teenindada mitte ainult traditsioonilisi DNS-päringuid, vaid ka päringuid, mis saadetakse DoH (DNS-over-HTTPS) ja DoT (DNS-over-TLS) abil. Klientide poolne HTTPS toetus (dig) pole veel teostatud. Toetuseks XFR-over-TLS on saadaval nii sisend- kui ka väljundpäringutele.

DoH ja DoT päringute töötlemine aktiveeritakse, lisades listen-on direktiivi http ja tls võimalused. Krüpteerimata DNS-over-HTTPi toetamiseks tuleb seadetes näidata "tls none". Võtmed määratakse "tls" sektsioonis. Standardne võrguport 853 DoT jaoks, 443 DoH jaoks ja 80 DNS-over-HTTP jaoks võib üle kirjutada parameetrite tls-port, https-port ja http-port kaudu. Näiteks: tls local-tls { key-file "\/path\/to\/priv_key.pem"; cert-file "\/path\/to\/cert_chain.pem"; }; http local-http-server { endpoints { "\/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }

BIND’i DoH teostuse eripära on integreerimine üldiseks transpordiks, mida saab kasutada mitte ainult kliendi päringute töötlemiseks resolvri poole, vaid ka andmevahetuseks serverite vahel, autoriteetse DNS-serveri tsoonide edastamiseks ja kõigi päringute töötlemiseks, mida toetavad muud DNS-i transpordid.

Teise eripära on TLS-krüptimise operatsioonide viimine teisele serverile, mis võib olla vajalik olukordades, kus TLS-sertifikaadid on ladustatud teistes süsteemides (näiteks veebiserverite infrastruktuuris) ja neid haldab teine personal. Tugi krüptimata DNS-over-HTTP-le on rakendatud silumise lihtsustamiseks ja sisemise võrgu edastamiseks, mille põhjal saab teisel serveril organiseerida krüptimist. TLS-liikluse genereerimiseks võib välisteenuse serveris kasutada nginx'i, nii nagu HTTPS-i sidumise korraldamine veebisaitide jaoks.

Kordame, et DNS-over-HTTPS võib olla kasulik, et vältida teenusteandmete leket DNS-serverite kaudu, võidelda MITM-rünnakute ja DNS-traafiku vale edastamise vastu (näiteks avalikus Wi-Fi-võrgus), seista vastu DNS-tasandi blokeeringutele (DNS-over-HTTPS ei saa asendada VPN blokeeringute vältimist DPI tasemel) või kutsuda esile töö korraldamise juhul, kui ei ole võimalik otse DNS-serveritele pöörduda (näiteks proxy kaudu töötades). Kui tavaliselt saadetakse DNS-päringud otse süsteemi konfigureeritud DNS-serveritele, siis DNS-over-HTTPS korral saadetakse päring hosti määratlemiseks IP-aadressid HTTPS-i liiklusesse ja saadetakse HTTP-serverisse, kus resolver töötab päringute kaudu Web API.

„DNS over TLS“ erineb „DNS over HTTPS“ tavalise DNS-protokolli (tavaliselt kasutatakse võrguporti 853) rakendamise poolest, mis on pakitud krüpteeritud suhtluskanalisse, mis on korraldatud TLS-protokolli abil ning mille hosti valideerimine toimub TLS/SSL-sertifikaatide kaudu, mille on allkirjastanud sertifitseerimiskeskus. Praegune DNSSEC-i standard kasutab krüpteerimist ainult kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ja ei taga päringute konfidentsiaalsust.

Allikas: opennet.ru