Mozilla liidab Firefoxis vaikevalikuna DNS-over-HTTPS.

Firefoxi arendajad teatasid DNS üle HTTPS (DoH) toe testimise lõpetamisest ja kavatsusest septembri lõpus see tehnoloogia automaatselt USA kasutajatele aktiveerida. Aktiveerimine toimub järk-järgult, alguses mõne protsendi kasutajate seas ning probleemide puudumisel ulatub see lõpuks 100% -ni. Pärast USA katmist kaalutakse võimalust DoH aktiveerida ka teistes riikides.

Aasta jooksul läbi viidud testid on näidanud teenuse usaldusväärsust ja head toimivust, samuti on nad aidanud tuvastada teatud olukordi, kus DoH võib põhjustada probleeme, ja töötada välja lahendusi nende vältimiseks (näiteks on arutatud probleeme sisu edastamise võrkudes liikluse optimeerimist, vanemlikku kontrolli ja ettevõtte sise DNS-ala).

DNS-trafiku krüpteerimise tähtsust peetakse kasutajate kaitse vältimatuks teguriks, seetõttu on DoH otsustatud vaikimisi sisse lülitada, kuid esialgu ainult USA kasutajatele. DoH aktiveerimisel kuvatakse kasutajale hoiatusteade, mis võimaldab soovikorral loobuda tsentraliseeritud DoH DNS-serverite kasutamisest ja naasta traditsioonilisse mittenüüdseeritud DNS-serverite päringute süsteemi (DoH kasutab kindlat DoH-teenust, mis võib toimida kui ühekordne rikke punkt, erinevalt jaotatud DNS-resolverite infrastruktuurist).

DoH aktiveerimisel võib tekkida probleeme vanemliku kontrolli ja ettevõtete võrgustike tööga, mis kasutavad ainult sisevõrgu nimetuste struktuuri intraneti aadresside ja ettevõtte hostide teisendamiseks. Selliste süsteemide probleemide lahendamiseks on lisatud kontrollide süsteem, mis automaatselt keeb DoH välja. Kontrollid viiakse läbi iga kord, kui brauser käivitatakse, või kui tuvastatakse alamsüsteemi muudatus.

Tavaliselt on sisse lülitatud automaatne tagasipöördumine operatsioonisüsteemi tavalise resolvija kasutamise juurde ka siis, kui tekivad tõrked DoH kaudu resolveerimise ajal (näiteks, kui DoH pakkuja võrgus puudub ligipääs või tema infrastruktuuris tekivad tulemused). Taoliste kontrollide mõte on küsitav, kuna keegi ei takista ründajaid, kes kontrollivad resolvijat või suudavad liiklust sekkuda, simuleerimast sellist käitumist, et katkestada DNS-i liikluse krüpteerimine. Probleem on lahendatud, lisades seadistustesse punkti "DoH always" (vaikimisi mitte aktiivne), mille aktiviseerimisel automaatset seiskamist ei rakendata, mis on mõistlik kompromiss.

Ettevõtte resolvereid määratlemiseks kontrollitakse ebatüüpilisi ülemisi domeene (TLD) ja tagastatakse sisevõrgu aadresse süsteemi resolveriga. Vanemlik kontroll hõlmab katset tagasiviimist domeeninimega exampleadultsite.com, ja kui tulemus ei kattu tegeliku IP-aadressiga, loetakse, et DNS-tasandil on täiskasvanute sisu blokeeritud. Täiendavalt kontrollitakse ka Google'i ja YouTube'i IP-aadresse, et tuvastada, kas need on suunatud restrict.youtube.com, forcesafesearch.google.com ja restrictmoderate.youtube.com. Lisaks Mozilla pakub rakendada ühtset kontrollimise hosti use-application-dns.net, mida saavad kasutada internetiteenuse pakkujad ja vanemlikud kontrolliteenused DoH välja lülitamise märgiks (kui hosti ei määrata, siis Firefox lülitab DoH välja).

Töötamine ühe DoH-teenuse kaudu võib samuti potentsiaalselt põhjustada probleemide tekkimist sisuhalduse jaotamise võrkudes, mis täidavad liikluse tasakaalustamist DNS-i abil (CDN-võrgu DNS-server koostab vastuse, võttes arvesse resolveri aadressi ja väljastab lähima hosti sisu saamiseks). DNS-päringu saatmine lähimast resolverist kasutajale sellistes CDN-des toob kaasa aadressi tagastamise, mis on kasutajale kõige lähemal asuv host, kuid kui DNS-päring saadetakse tsentraliseeritud resolverist, väljastatakse aadress, mis on kõige lähemal DNS-over-HTTPS-serverile. Praktikas näidatud testimine tõestas, et DNS-over-HTTP rakendamine CDN-ide kasutamisel ei põhjustanud peaaegu viivitusi sisu edastamise alguses (kiiretes ühendustes ei ületanud viivitused 10 millisekundit ning aeglaste kanalite korral täheldati isegi töö kiirenemist). CDN-i resolverile kliendi asukoha edastamiseks vaadeldi samuti EDNS Client Subnet laienduse rakendamise võimalust.

Tulet meenutada, et DoH võib olla kasulik, et vältida hostinimede päringute teavet lekkeid, mida edastatakse teenusepakkujate DNS-serverite kaudu, võidelda MITM-rünnakute ja DNS-liiklusest kõrvalekaldumisega, takistada DNS-taseme blokeeringute korral või korraldada tööd, kui otse DNS-serverite poole pöördumine ei ole võimalik (näiteks töötades läbi proksi). Tavalistes olukordades saadetakse DNS-päringud otse süsteemi konfigureeritud DNS-serveritele, kuid DoH korral kapseldatakse hosti IP-aadressi määramise päring HTTPS-liiklusesse ja saadetakse HTTP-serverisse, kus resolvender käsitleb päringuid läbi Web API. Praegune standard DNSSEC kasutab krüpteerimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega taga päringute konfidentsiaalsust.

DoH lubamiseks tuleb muuta muutuja network.trr.mode väärtust, mida toetatakse alates Firefox 60-st. Väärtus 0 keelab täielikult DoH; 1 — kasutatakse DNS-i või DoH-d, sõltuvalt sellest, kumb on kiirem; 2 — kasutatakse vaikimisi DoH-d ja DNS-i varuvõtmena; 3 — kasutatakse ainult DoH-d; 4 — peegeldusrežiim, kus DoH ja DNS töötavad paralleelselt. Vaikimisi kasutatakse CloudFlare'i DNS-serverit, kuid seda saab muuta parameetri network.trr.uri kaudu, näiteks saab määrata "https://dns.google.com/experimental" või "https://9.9.9.9/dns-query".

Allikas: opennet.ru