P\u00e4rast kahte aastat arendust esitles ISC konsortsium DNS-serveri BIND 9.18 esimese stabiilse v\u00e4ljaande uut olulist haru. Haru 9.18 toetamist j\u00e4tkatakse kolme aasta jooksul kuni 2025. aasta teise kvartalini laiendatud hooldusts\u00fckli raames. Haru 9.11 tugi l\u00f5peb m\u00e4rtsis ja haru 9.16 keskpaiku 2023. aastal. J\u00e4rgmise stabiilse versiooni funktsionaalsuse arendamiseks on loodud katseharu BIND 9.19.0. <\/p>\n
BIND 9.18.0 v\u00e4ljaanne on t\u00e4helepanuv\u00e4\u00e4rne, kuna see toetab tehnoloogiaid \u201eDNS \u00fcle HTTPS\u201d (DoH, DNS over HTTPS) ja DNS \u00fcle TLS (DoT, DNS over TLS) ning XoT (XFR-over-TLS) mehhanismi DNS-i tsoonide sisu turvaliseks edastamiseks serverite vahel (toetatakse nii tsoonide edastamist kui ka vastuv\u00f5ttu XoT kaudu). \u00d5ige seadistusega saab n\u00fc\u00fcd \u00fcks named protsess teenindada mitte ainult traditsioonilisi DNS-p\u00e4ringuid, vaid ka p\u00e4ringuid, mis on saadetud DNS-over-HTTPS ja DNS-over-TLS abil. DNS-over-TLS klienditoe on integreeritud t\u00f6\u00f6riistasse dig, mida saab kasutada TLS-i kaudu p\u00e4ringute saatmiseks, kui m\u00e4rkida lipp \u201e+tls\u201d. <\/p>\n
DoH-is kasutatava HTTP\/2 protokolli rakendamine p\u00f5hineb nghttp2 teegi kasutamisel, mis on h\u00f5lmatud valikuliste ehituse s\u00f5ltuvuste hulka. DoH ja DoT sertifikaadid v\u00f5ivad olla kasutaja pakutud v\u00f5i genereeritud automaatselt k\u00e4ivitamise ajal. <\/p>\n
DoH ja DoT p\u00e4ringute t\u00f6\u00f6tlemine aktiveeritakse, lisades valikud \u201ehttp\u201d ja \u201etls\u201d direktiivi listen-on. Kr\u00fcpteerimata DNS-over-HTTP toetamiseks tuleb seadistustes m\u00e4\u00e4rata \u201etls none\u201d. Klahvid m\u00e4\u00e4ratakse \u201etls\u201d sektsioonis. Standardportid 853 DoT jaoks, 443 DoH jaoks ja 80 DNS-over-HTTP jaoks v\u00f5ivad olla \u00fcmber m\u00e4\u00e4ratud l\u00e4bi parameetrite tls-port, https-port ja http-port. N\u00e4iteks: <\/p>\n
tls local-tls { key-file \"\/path\/to\/priv_key.pem\"; cert-file \"\/path\/to\/cert_chain.pem\"; }; http local-http-server { endpoints { \"\/dns-query\"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
BINDi DoH-i teostuse erip\u00e4radest on m\u00e4rgitud v\u00f5imalust viia TLS kr\u00fcpteerimise toimingud teisele serverile, mis v\u00f5ib olla vajalik olukordades, kus TLS-sertifikaatide hoidmine toimub teisel s\u00fcsteemil (n\u00e4iteks veebiserverite infrastruktuuris) ja seda haldab teine personal. Tugi kr\u00fcpteerimata DNS-over-HTTP-le on rakendatud t\u00f5rkeotsingu lihtsustamiseks ja tasemena, et suunata andmed teisele serverile sisev\u00f5rgus (kr\u00fcpteerimise viimiseks eraldi serverisse). Nginx-i v\u00f5ib kasutada v\u00e4lises serveris TLS-traafiku genereerimiseks, sarnaselt sellele, kuidas korraldatakse HTTPS-i vahetus veebilehtede jaoks. <\/p>\n
Teine erip\u00e4ra on DoH-i integreerimine \u00fcldise transpordina, mida saab kasutada mitte ainult kliendi p\u00e4ringute t\u00f6\u00f6tlemiseks resolvijale, vaid ka serverite vahel andmete vahetamisel, autoriteetse DNS-serveri kaudu tsoonide edastamisel ja igasuguste p\u00e4ringute t\u00f6\u00f6tlemisel, mida toetavad teised DNS-i transpordid. <\/p>\n
DoH\/DoT kogumisel esinevad puudused, mida saab kompenseerida DoH\/DoT v\u00e4lja l\u00fclitamise v\u00f5i kr\u00fcpteerimise teisaldamisega teise serverisse, h\u00f5lmavad \u00fcldist koodibaasi keerukuse suurenemist \u2014 lisandub sisseehitatud HTTP-server ja TLS-raamatukogu, mis v\u00f5ivad potentsiaalselt sisaldada haavatavusi ja esindada t\u00e4iendavaid r\u00fcnnakute vektoreid. Samuti suurendab DoH kasutamine liiklust. <\/p>\n
Kordame, et DNS-over-HTTPS v\u00f5ib olla kasulik, et v\u00e4ltida teenusteandmete leket DNS-serverite kaudu, v\u00f5idelda MITM-r\u00fcnnakute ja DNS-traafiku vale edastamise vastu (n\u00e4iteks avalikus Wi-Fi-v\u00f5rgus), seista vastu DNS-tasandi blokeeringutele (DNS-over-HTTPS ei saa asendada VPN<\/a> blokeeringute v\u00e4ltimist DPI tasemel) v\u00f5i kutsuda esile t\u00f6\u00f6 korraldamise juhul, kui ei ole v\u00f5imalik otse DNS-serveritele p\u00f6\u00f6rduda (n\u00e4iteks proxy kaudu t\u00f6\u00f6tades). Kui tavaliselt saadetakse DNS-p\u00e4ringud otse s\u00fcsteemi konfigureeritud DNS-serveritele, siis DNS-over-HTTPS korral saadetakse p\u00e4ring hosti m\u00e4\u00e4ratlemiseks IP-aadressid<\/a> HTTPS-i liiklusesse ja saadetakse HTTP-serverisse, kus resolver t\u00f6\u00f6tab p\u00e4ringute kaudu Web API. <\/p>\n \"DNS over TLS\" erineb \"DNS over HTTPS\"-ist, kasutades tavalist DNS-protokolli (tavaliselt kasutatakse v\u00f5rguporti 853), mis on kaetud kr\u00fcpteeritud suhtluse kanaliga, mille korraldab TLS-protokoll ja mille rikkaus hosti kinnitamine toimub TLS\/SSL-sertifikaatide kaudu, mis on allkirjastatud sertifitseerimisasutuse poolt. Kehtiv DNSSEC-i standard kasutab kr\u00fcpteerimist ainult kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ja ei garanteeri p\u00e4ringute konfidentsiaalsust. <\/p>\n M\u00f5ned teised uuendused: <\/p>\n\n