Kaks aastat kestnud arendust\u00f6\u00f6d ISC konsortsium on tutvustanud uue olulise haru DNS-serverist BIND 9.18 esimest stabiilset v\u00e4ljaannet. Haru 9.18 tuge toetatakse kolm aastat kuni 2025. aasta teise kvartalini laiendatud toe ts\u00fckli raames. Haru 9.11 toetus l\u00f5ppeb m\u00e4rtsis ja haru 9.16 keskel 2023. Funktsionaalsuse arendamiseks j\u00e4rgmiseks stabiilseks versiooniks on loodud eksperimentaalne haru BIND 9.19.0. <\/p>\n
BIND 9.18.0 v\u00e4ljaanne on m\u00e4rkimisv\u00e4\u00e4rne, kuna see rakendab \u201eDNS HTTPSi kaudu\u201c (DoH, DNS over HTTPS) ja DNSi TLSi kaudu (DoT, DNS over TLS) toetust ning XoT (XFR-over-TLS) mehhanismi DNS-tsoonide sisu turvaliseks edastamiseks serverite vahel (toetatakse nii tsoonide edastamist kui ka vastuv\u00f5tmist XoT kaudu). \u00d5ige seadistuse korral v\u00f5ib \u00fcks named protsess n\u00fc\u00fcd teenindada mitte ainult traditsioonilisi DNS-p\u00e4ringuid, vaid ka p\u00e4ringuid, mis saadetakse DNS-over-HTTPS ja DNS-over-TLS abil. DNS-over-TLS kliendi tugi on sisseehitatud dig t\u00f6\u00f6riista, mida saab kasutada p\u00e4ringute saatmiseks TLSi kaudu, kui kasutatakse lippu \u201e+tls\u201c. <\/p>\n
HTTP\/2 protokolli rakendamine, mida kasutatakse DoH-is, p\u00f5hineb nghttp2 teegil, mis kuulub valikuline kompileerimise s\u00f5ltuvus. Sertifikaate DoH ja DoT jaoks v\u00f5ib pakkuda kasutaja v\u00f5i genereerida automaatselt k\u00e4ivitamisel. <\/p>\n
DoH ja DoT abil p\u00e4ringute t\u00f6\u00f6tlemine aktiveeritakse, lisades listen-on direktiivi optsioonid \u201ehttp\u201c ja \u201etls\u201c. Dekodeerimata DNS-over-HTTP toetamiseks tuleb seadetes m\u00e4\u00e4rata \u201etls none\u201c. V\u00f5tmed m\u00e4\u00e4ratakse \u201etls\u201c sektsioonis. Standardsete v\u00f5rguportide 853 (DoT), 443 (DoH) ja 80 (DNS-over-HTTP) seadistusi saab \u00fcmbritseda tls-port, https-port ja http-port parameetrite kaudu. N\u00e4iteks: <\/p>\n
tls local-tls { key-file ; cert-file ; }; http local-http-server { endpoints { ; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
BINDi DoH-i rakendamise erip\u00e4ra on v\u00f5imalus viia TLS-i kr\u00fcpteerimise toimingud teisele serverile. See v\u00f5ib osutuda vajalikuks situatsioonides, kus TLS-sertifikaate hoitakse teises s\u00fcsteemis (n\u00e4iteks veebiserverite infrastruktuuris) ja haldab seda teine personal. De\u0161ifreerimata DNS-over-HTTP toetus on rakendatud silumise lihtsustamiseks ja kui tasand, mis v\u00f5imaldab suunata teisele serverile sisev\u00f5rgus (et viia kr\u00fcpteerimine eraldi serverile). TLS-i liikluse genereerimiseks v\u00e4lisse serveris saab kasutada nginx-i, sarnaselt sellele, kuidas on korraldatud HTTPS-i sidumine veebilehtede jaoks. <\/p>\n
Teine erip\u00e4ra on DoH-i integreerimine \u00fcldiseks transpordiks, mida ei rakendata ainult kliendi p\u00e4ringute t\u00f6\u00f6tlemiseks resolveri poole, vaid ka serverite vahelise andmevahetuse, tsoonide edastamise autoriteetse DNS-serveri kaudu ja igasuguste p\u00e4ringute t\u00f6\u00f6tlemisel, mida toetavad muud DNS-i transpordid. <\/p>\n
Puudustele h\u00e4id aspekte, mis on kompenseeritavad DoH\/DoT v\u00e4ljal\u00fclitamise v\u00f5i kr\u00fcpteerimise teisale serverile viimisega, on \u00fcldine koodibaasi keerukus \u2014 see sisaldab sisseehitatud HTTP-serverit ja TLS-i teekki, mis v\u00f5ivad potentsiaalselt sisaldada haavatavusi ja esindada t\u00e4iendavaid r\u00fcndevektoreid. Samuti kasvab DoH-i kasutamisel liiklus. <\/p>\n
Tuletame meelde, et DNS-over-HTTPS v\u00f5ib olla kasulik, et v\u00e4ltida andmete leket p\u00e4ringute nimekirjast DNS-teenuse pakkujate kaudu, v\u00f5idelda MITM-r\u00fcnnakute ja DNS-liikluse asendamisega (n\u00e4iteks avaliku Wi-Fi kaudu \u00fchenduse loomisel), samuti vastu seista DNS-i taseme blokeerimisele (DNS-over-HTTPS ei saa asendada VPN<\/a> DPI-taseme blokeeringute \u00fcletamisel v\u00f5i t\u00f6\u00f6 korraldamisel, kui ei ole v\u00f5imalik otse DNS-serveritega \u00fchendust saada (nt proxy kaudu t\u00f6\u00f6tamisel). Kui tavaliselt DNS-p\u00e4ringud saadetakse otse s\u00fcsteemi konfigureeritud DNS-serveritele, siis DNS-over-HTTPS korral on hosti m\u00e4\u00e4ramine kaasatud HTTPS-i liiklusesse ja saadetud HTTP-serverile, kus resolver k\u00e4itleb p\u00e4ringud Web API kaudu. IP-aadressid<\/a> P\u00e4ring hosti m\u00e4\u00e4ramiseks on saadetud HTTPS-i liikluses ja suunatud HTTP-serverisse, kus resolver t\u00f6\u00f6tleb p\u00e4ringud Web API kaudu. <\/p>\n \u00abDNS over TLS\u00bb erineb \u00abDNS over HTTPS\u00bb-est selle poolest, et kasutatakse standardset DNS-protokolli (tavaliselt kasutatakse porti 853), mis on kr\u00fcpteeritud TLS-protokolli kaudu, kus toimub hosti valideerimine TLS\/SSL-sertifikaatide kaudu, mille on kinnitustanud sertifitseerimisasutus. Praegune standard DNSSEC kasutab kr\u00fcpteerimist vaid kliendi ja serveri autentimiseks, kuid ei kaitse liiklust pealtkuulamise eest ega taga p\u00e4ringute konfidentsiaalsust. <\/p>\n M\u00f5ned muud uuendused: <\/p>\n\n