Les développeurs de Mozilla Concernant la réalisation d'une nouvelle étude en vue de l'implémentation de la fonction de requête DNS sur HTTPS (DoH, DNS over HTTPS). Au cours de l'expérimentation, des statistiques sur l'utilisation des systèmes de contrôle parental et des résolveurs d'entreprise seront collectées auprès des utilisateurs de versions Firefox aux États-Unis. Il est possible de se retirer de l'expérimentation via la page « about:studies » (l'étude est présentée dans la liste sous le nom « Detection Logic for DNS-over-HTTPS »).
Pour l'étude, des données anonymisées seront collectées, incluant uniquement des compteurs, sans indiquer d'adresses ou de domaines spécifiques. Pour identifier les systèmes de contrôle parental, une requête sera envoyée pour déterminer le nom exampleadultsite.com et si celui-ci ne correspond pas à l'adresse IP réelle, il est possible de conclure qu'une restriction de contenu adulte est active au niveau DNS. Des évaluations seront également faites. adresses IP Les réponses pour Google et YouTube, afin de vérifier leur substitution sur restrict.youtube.com, forcesafesearch.google.com et restrictmoderate.youtube.com.
Pour identifier l'utilisation de résolveurs d'entreprise internes, les hôtes déterminés lors de l'ouverture des sites seront vérifiés pour la présence de domaines de premier niveau (TLD) atypiques et le retour d'adresses intranet. L'initiative de l'expérimentation découle des inquiétudes selon lesquelles l'activation par défaut de DNS-over-HTTPS pourrait perturber le fonctionnement des systèmes de contrôle parental opérant via DNS, et poser des problèmes aux utilisateurs de réseaux d'entreprise qui utilisent des serveurs DNS fournissant des informations sur des domaines internes non visibles sur le réseau extérieur.
Rappelons que DoH peut être utile pour éviter les fuites d'informations sur les noms d'hôtes demandés via les serveurs DNS des fournisseurs, lutter contre les attaques MITM et la substitution du trafic DNS, contrer les blocages au niveau DNS ou pour organiser le fonctionnement en cas d'impossibilité d'accès direct aux serveurs DNS (par exemple, lors du travail via un proxy). Si, dans une situation normale, les requêtes DNS sont envoyées directement aux serveurs DNS spécifiés dans la configuration système, alors dans le cas de DoH, la requête pour déterminer l'adresse IP de l'hôte est encapsulée dans le trafic HTTPS et envoyée à un serveur HTTP, où le résolveur traite les requêtes via Web API. La norme existante DNSSEC utilise le chiffrement uniquement pour l'authentification du client et du serveur, mais ne protège pas le trafic contre l'interception et ne garantit pas la confidentialité des requêtes.
Pour activer DoH dans about:config, il faut modifier la valeur de la variable network.trr.mode, prise en charge à partir de Firefox 60. La valeur 0 désactive complètement DoH ; 1 utilise DNS ou DoH, en fonction de ce qui est le plus rapide ; 2 utilise DoH par défaut, avec DNS comme option de secours ; 3 utilise uniquement DoH ; 4 est le mode de miroir où DoH et DNS sont utilisés en parallèle. Par défaut, le serveur DNS de CloudFlare est utilisé, mais il peut être modifié via le paramètre network.trr.uri, par exemple, vous pouvez définir « https://dns.google.com/experimental » ou « https://9.9.9.9/dns-query ».
Source : opennet.ru
