Des expériences avec l'activation de DNS-over-HTTPS commenceront dans Chrome 78

Suite à Mozilla la société Google a déclaré sur l'intention de mener une expérience pour tester la mise en œuvre de « DNS sur HTTPS » (DoH, DNS over HTTPS) développée pour le navigateur Chrome. Dans la version Chrome 78, prévue pour le 22 octobre, certaines catégories d'utilisateurs utiliseront par défaut sont transférées DoH. L'expérience d'activation de DoH impliquera uniquement les utilisateurs dont les paramètres système actuels indiquent des fournisseurs DNS spécifiques reconnus comme compatibles avec DoH.

La liste blanche des fournisseurs DNS comprend les services Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) et DNS.SB (185.222.222.222, 185.184.222.222). Si les paramètres DNS de l'utilisateur incluent l'un des serveurs DNS mentionnés ci-dessus, DoH sera activé par défaut dans Chrome. Pour ceux qui utilisent des serveurs DNS fournis par leur fournisseur d'accès Internet local, rien ne changera et le résolveur système continuera à être utilisé pour les requêtes DNS.

Une différence importante par rapport à l'implémentation de DoH dans Firefox, où l'activation progressive de DoH par défaut commencera déjà fin septembre, est l'absence de liaison à un unique service DoH. Alors que dans Firefox le DNS par défaut on utilise est le serveur DNS CloudFlare, dans Chrome, il n'y aura qu'une mise à jour de la méthode de gestion des DNS vers un service équivalent, sans changer de fournisseur DNS. Par exemple, si l'utilisateur a configuré le DNS 8.8.8.8 dans ses paramètres système, alors dans Chrome, il sera activé le service DoH de Google («https://dns.google.com/dns-query»), si le DNS est 1.1.1.1, le service DoH de Cloudflare («https://cloudflare-dns.com/dns-query») et etc.

L'utilisateur pourra activer ou désactiver DoH via le paramètre « chrome://flags/#dns-over-https ». Trois modes de fonctionnement sont pris en charge : « secure », « automatic » et « off ». En mode « secure », les hôtes sont déterminés uniquement sur la base des valeurs sécurisées mises en cache précédemment (obtenues via une connexion sécurisée) et des requêtes via DoH, le retour à un DNS traditionnel n'est pas appliqué. En mode « automatic », si DoH et le cache sécurisé ne sont pas disponibles, la récupération des données à partir du cache non sécurisé et les requêtes via le DNS traditionnel sont autorisées. En mode « off », le cache général est vérifié en premier et s'il n'y a pas de données, la requête est envoyée via le DNS système. Le mode est défini par le paramètre kDnsOverHttpsMode, et le modèle de correspondance des serveurs par kDnsOverHttpsTemplates.

L'expérimentation de l'activation de DoH sera effectuée sur toutes les plateformes prises en charge par Chrome, à l'exception de Linux et d'iOS en raison de la complexité de l'analyse des paramètres de résolveur et des restrictions d'accès aux paramètres système DNS. Si, après l'activation de DoH, des problèmes surviennent lors de l'envoi de requêtes au serveur DoH (par exemple, en raison de son blocage, d'une perte de connectivité réseau ou d'une panne), le navigateur reviendra automatiquement aux paramètres DNS système.

L'objectif de cette expérimentation est de vérifier définitivement la mise en œuvre de DoH et d'étudier l'impact de l'application de DoH sur les performances. Il convient de noter que le support de DoH a en fait été ajouté intégré dans la base de code de Chrome en février dernier, mais il fallait lancer Chrome avec un drapeau spécial et un ensemble d'options peu évident. N'oublions pas que DoH peut être utile pour éviter les fuites d'informations sur les noms d'hôtes demandés via les serveurs DNS des fournisseurs, se défendre contre les attaques MITM et le spoofing du trafic DNS (par exemple, lors de la connexion à des réseaux Wi-Fi publics), faire face aux blocages au niveau DNS (DoH ne peut pas remplacer un VPN pour contourner les blocages mis en place au niveau DPI) ou pour organiser le fonctionnement en cas d'incapacité à accéder directement aux serveurs DNS (par exemple, en passant par un proxy). Dans une situation normale, les requêtes DNS sont envoyées directement aux serveurs DNS spécifiés dans la configuration du système, tandis qu'avec DoH, la requête pour déterminer l'adresse IP de l'hôte est encapsulée dans le trafic HTTPS et envoyée à un serveur HTTP, où le résolveur traite les requêtes via une API Web. La norme existante DNSSEC utilise le cryptage uniquement pour l'authentification du client et du serveur, mais ne protège pas le trafic contre l'interception et ne garantit pas la confidentialité des requêtes.

Juste après Mozilla, l'entreprise Google

Source : opennet.ru