DNS-ren HTTPS-en ezaugarriei buruzko iritziak aztertzen ditugu, azkenaldian Interneteko hornitzaileen eta arakatzaileen garatzaileen artean "eztabaida-hezurra" bihurtu direnak.
/Desagerrarazi/
Desadostasunaren funtsa
Azkenaldian ΠΈ (Habr barne), askotan DNS HTTPS (DoH) protokoloari buruz idazten dute. DNS zerbitzariari eskaerak eta haiei erantzunak zifratzen ditu. Ikuspegi honek erabiltzaileak sartzen dituen ostalarien izenak ezkutatzeko aukera ematen du. Argitalpenetatik ondorioztatu dezakegu protokolo berria (IETF-n 2018an) IT komunitatea bi esparrutan banatu zuen.
Erdiek uste dute protokolo berriak Interneteko segurtasuna hobetuko duela eta aplikazio eta zerbitzuetan ezartzen ari dira. Beste erdia konbentzituta dago teknologiak sistema-administratzaileen lana zailtzen duela soilik. Jarraian, bi aldeen argudioak aztertuko ditugu.
DoH nola funtzionatzen duen
ISPak eta beste merkatuko parte-hartzaileak zergatik dauden DNS HTTPS bidezko alde edo kontrako arrazoiak azaldu aurretik, ikus dezagun laburki nola funtzionatzen duen.
DoH-ren kasuan, IP helbidea zehazteko eskaera HTTPS trafikoan sartzen da. Ondoren HTTP zerbitzarira doa, non APIa erabiliz prozesatzen den. Hona hemen RFC 8484-ren eskaera adibide bat ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
Horrela, DNS trafikoa HTTPS trafikoan ezkutatuta dago. Bezeroa eta zerbitzaria 443 ataka estandarraren bidez komunikatzen dira. Ondorioz, domeinu-izen sistemarako eskaerak anonimoak izaten jarraitzen dute.
Zergatik ez du mesederik?
HTTPS bidez DNSren aurkakoak protokolo berriak konexioen segurtasuna murriztuko duela. Nork Paul Vixie, DNS garapen taldeko kideak, zaildu egingo die sistema-administratzaileei gaiztoak izan daitezkeen guneak blokeatzea. Erabiltzaile arruntek arakatzaileetan gurasoen baldintzapeko kontrolak konfiguratzeko gaitasuna galduko dute.
Paulen iritziak Erresuma Batuko Interneteko hornitzaileek partekatzen dituzte. Herrialdeko legedia blokeatu debekatutako edukia duten baliabideetatik. Baina DoH-rako laguntza arakatzaileetan trafikoa iragazteko lana zailtzen du. Protokolo berriaren kritiken artean Ingalaterrako Gobernuaren Komunikazio Zentroa ere sartzen da () eta Internet Watch Fundazioa (), blokeatutako baliabideen erregistroa mantentzen duena.
HabrΓ©-ri buruzko gure blogean:
Adituek diote HTTPS bidezko DNS zibersegurtasun mehatxu bat bihur daitekeela. Uztailaren hasieran, Netlab-eko informazioaren segurtasuneko espezialistak DDoS erasoak egiteko protokolo berria erabili zuen lehen birusa - . Malwarea DoHra sartu zen testu-erregistroak (TXT) lortzeko eta komando eta kontrol zerbitzariaren URLak ateratzeko.
Enkriptatutako DoH eskaerak ez zituen birusen aurkako softwareak ezagutzen. Informazioaren segurtasuneko espezialistak Godluaren ondoren beste malware bat etorriko dela, DNS monitorizazio pasiborako ikusezina.
Baina denak ez daude kontra
HTTPS bidez DNSren defentsan bere blogean Geoff Houston APNICeko ingeniaria. Haren esanetan, protokolo berriak DNS bahiketaren erasoei aurre egitea ahalbidetuko du, azkenaldian gero eta ohikoagoak direnak. Gertaera hau FireEye zibersegurtasun konpainiaren urtarrileko txostena. Informatika-enpresa handiek ere lagundu zuten protokoloaren garapena.
Joan den urte hasieran, DoH Googlen probatzen hasi zen. Eta duela hilabete bat enpresa Bere DoH zerbitzuaren erabilgarritasun orokorraren bertsioa. Googlen , sareko datu pertsonalen segurtasuna areagotuko duela eta MITM erasoetatik babestuko duela.
Beste arakatzaileen garatzaile bat - Mozilla - DNS HTTPS bidez joan den udatik. Aldi berean, konpainia aktiboki sustatzen ari da teknologia berriak IT ingurunean. Horretarako, Interneteko Zerbitzu Hornitzaileen Elkarteak (ISPA) Mozillaren urteko gaiztoaren saria. Horren harira, enpresako ordezkariak Telekomunikazio-operadoreek Internet azpiegitura zaharkitua hobetzeko duten errezeloak zapuztuta daude.
/Desagerrarazi/
Mozillaren alde eta Interneteko hornitzaile batzuk. Batez ere, British Telecom-en protokolo berriak ez duela edukien iragazketan eragingo eta Erresuma Batuko erabiltzaileen segurtasuna hobetuko duela. Publikoaren presiopean ISPA "gaiztoa" izendapena.
Hodeiko hornitzaileek HTTPS bidez DNS sartzea ere defendatu zuten, adibidez . Dagoeneko DNS zerbitzuak eskaintzen dituzte protokolo berrian oinarrituta. DoH onartzen duten arakatzaileen eta bezeroen zerrenda osoa eskuragarri dago hemen .
Nolanahi ere, oraindik ezin da bi kanpamenduen arteko liskarren amaieraz hitz egin. IT adituek aurreikusten dutenez, HTTPS bidezko DNS Interneteko teknologia nagusien pila izatera iritsiko bada, beharrezkoa izango da. .
Zer gehiago idazten dugu gure blog korporatiboan:
Iturria: www.habr.com