Les associations de fournisseurs américains s'opposent à la centralisation lors de l'implémentation de DNS-over-HTTPS

Associations commerciales NCTA, CTIA et USTelecom, défendant les intérêts des fournisseurs d'accès Internet, se sont adressées au Congrès des États-Unis pour attirer l'attention sur le problème de l'implémentation de « DNS sur HTTPS » (DoH, DNS over HTTPS) et demander à Google des informations détaillées sur les plans actuels et futurs concernant l'intégration de DoH dans ses produits, ainsi qu'un engagement de ne pas activer par défaut le traitement centralisé des requêtes DNS dans Chrome et Android sans un dialogue approfondi avec d'autres acteurs de l'écosystème et en tenant compte des conséquences négatives potentielles.

Comprenant les avantages globaux du chiffrement pour le trafic DNS, les associations estiment inacceptable de concentrer le contrôle des conversions de noms entre quelques mains et de lier ce mécanisme par défaut à des services DNS centralisés. En particulier, il est affirmé que Google s'oriente vers l'implémentation par défaut de DoH dans Android et Chrome, ce qui, en cas de lien avec les serveurs de Google, perturberait le caractère décentralisé de l'infrastructure DNS et créerait un point de défaillance unique.

Étant donné que Chrome et Android dominent le marché, la mise en œuvre de ses serveurs DoH donnerait à Google la possibilité de contrôler une grande partie des flux de requêtes DNS des utilisateurs. En plus de compromettre la fiabilité de l'infrastructure, une telle démarche donnerait également à Google des avantages injustifiés sur ses concurrents, car la société obtiendrait des informations supplémentaires sur les actions des utilisateurs, qui pourraient être utilisées pour suivre l'activité des utilisateurs et cibler des publicités pertinentes.

L'utilisation de DoH pourrait également perturber le fonctionnement dans des domaines tels que les systèmes de contrôle parental, l'accès aux espaces de noms internes dans les systèmes d'entreprise, le choix des itinéraires dans les systèmes d'optimisation de la distribution de contenu et l'exécution de mandats judiciaires concernant la lutte contre la diffusion de contenus illégaux et l'exploitation des mineurs. Le détournement DNS est également souvent utilisé pour rediriger les utilisateurs vers une page d'information sur l'épuisement des fonds de l'abonné ou pour se connecter à un réseau sans fil.

La société Google déclaré, que les craintes sont infondées, car elle n'a pas l'intention d'activer DoH par défaut dans Chrome et Android. Prévu Dans Chrome 78, l'activation expérimentale par défaut de DoH ne concernera que les utilisateurs dont les paramètres indiquent des fournisseurs DNS offrant la possibilité d'utiliser DoH comme alternative aux DNS traditionnels. Pour ceux qui utilisent les serveurs DNS fournis par leur fournisseur d'accès Internet local, les requêtes DNS continueront d'être envoyées via le résolveur système. En d'autres termes, les actions de Google se limitent à remplacer par un service équivalent celui de l'actuel fournisseur pour passer à une méthode sécurisée de gestion des DNS. L'activation expérimentale de DoH est également prévue dans Firefox, mais contrairement à Google, Mozilla préparé d'utiliser utilise par défaut le serveur DNS CloudFlare. Cette approche a déjà suscité la critique des réactions de la part du projet OpenBSD.

Rappelons que DoH peut s'avérer utile pour exclure les fuites d'informations sur les noms d'hôtes demandés via les serveurs DNS des fournisseurs, lutter contre les attaques MITM et le détournement du trafic DNS (par exemple, lors de la connexion à des réseaux Wi-Fi publics), faire face aux blocages au niveau DNS (DoH ne peut pas remplacer un VPN pour contourner les blocages mis en œuvre au niveau DPI) ou pour organiser le travail en cas d'impossibilité d'accéder directement aux serveurs DNS (par exemple, lors de l'utilisation d'un proxy).

Dans une situation normale, les requêtes DNS sont envoyées directement aux serveurs DNS définis dans la configuration système, tandis qu'avec DoH, la requête pour déterminer l'adresse IP de l'hôte est encapsulée dans le trafic HTTPS et envoyée à un serveur HTTP, où le résolveur traite les requêtes via une API Web. La norme DNSSEC existante utilise le chiffrement uniquement pour l'authentification du client et du serveur, mais ne protège pas le trafic contre l'interception et ne garantit pas la confidentialité des requêtes. Actuellement, environ 30 serveurs DNS publics supportent DoH.

Source : opennet.ru