Firefoxis viiakse läbi katse, mis on seotud DNS-over-HTTPS-iga.

Mozilla arendajad teatasid uue uuringu läbiviimisest, et valmistuda DNS-i üle HTTPS-i (DoH, DNS over HTTPS) pöördumise funktsiooni rakendamiseks. Eksperimendi käigus kogutakse teavet Ameerika Ühendriikide Firefoxi väljaannete kasutajate süsteemide kohta, et saada statistikat vanemliku kontrolli süsteemide ja ettevõtte resolvers'i kasutamise kohta. Eksperimendis osalemisest on võimalik loobuda lehe kaudu «about:studies» (uuring on esitatud nimekirjas kui «Detection Logic for DNS-over-HTTPS»).

Uuringu jaoks kogutakse anonüümseid andmeid, mis sisaldavad ainult loendureid, ilma konkreetsete aadresside ja domeenide näitamiseta. Vanemliku kontrolli süsteemide tuvastamiseks saadetakse päring näitamiseks, kas exampleadultsite.com-i nimi vastab tegelikule IP-le; kui see ei vasta, võib järeldada, et täiskasvanute sisu blokeerimine on aktiivne DNS-i tasemel. Samuti hinnatakse IP-aadressid tagastatavaid andmeid Google'i ja YouTube'i jaoks, et kontrollida nende suunamist restrict.youtube.com, forcesafesearch.google.com ja restrictmoderate.youtube.com.

Ettevõtte siseselt kasutatavate resolvers'i tuvastamiseks kontrollitakse veebisaitide avamise ajal määratud hoste, et kindlaks teha, kas nad kasutavad ebatüüpilisi tippdomeene (TLD) ning kas nende jaoks tagastatakse intraneti aadresse. Eksperimenti viidi läbi mure tõttu, et DNS-over-HTTPS vaikeseade võib mõjutada DNS-i kaudu töötavaid vanemlikke kontrolli süsteeme ning tekitada probleeme ettevõtte võrkudes, kus kasutatakse DNS-servereid, mis edastavad teavet sisedomeenide kohta, mis ei ole välisvõrgus nähtavad.

Tulet meenutada, et DoH võib olla kasulik, et vältida hostinimede päringute teavet lekkeid, mida edastatakse teenusepakkujate DNS-serverite kaudu, võidelda MITM-rünnakute ja DNS-liiklusest kõrvalekaldumisega, takistada DNS-taseme blokeeringute korral või korraldada tööd, kui otse DNS-serverite poole pöördumine ei ole võimalik (näiteks töötades läbi proksi). Tavalistes olukordades saadetakse DNS-päringud otse süsteemi konfigureeritud DNS-serveritele, kuid DoH korral kapseldatakse hosti IP-aadressi määramise päring HTTPS-liiklusesse ja saadetakse HTTP-serverisse, kus resolvender käsitleb päringuid läbi Web API. Praegune standard DNSSEC kasutab krüpteerimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega taga päringute konfidentsiaalsust.

DoH lubamiseks tuleb muuta muutuja network.trr.mode väärtust, mida toetatakse alates Firefox 60-st. Väärtus 0 keelab täielikult DoH; 1 — kasutatakse DNS-i või DoH-d, sõltuvalt sellest, kumb on kiirem; 2 — kasutatakse vaikimisi DoH-d ja DNS-i varuvõtmena; 3 — kasutatakse ainult DoH-d; 4 — peegeldusrežiim, kus DoH ja DNS töötavad paralleelselt. Vaikimisi kasutatakse CloudFlare'i DNS-serverit, kuid seda saab muuta parameetri network.trr.uri kaudu, näiteks saab määrata "https://dns.google.com/experimental" või "https://9.9.9.9/dns-query".

Allikas: opennet.ru