पसंद और नापसंद: HTTPS पर DNS

हम HTTPS पर DNS की विशेषताओं के बारे में राय का विश्लेषण करते हैं, जो हाल ही में इंटरनेट प्रदाताओं और ब्राउज़र डेवलपर्स के बीच "विवाद की हड्डी" बन गई है।

/अनस्प्लैश/ स्टीव हलामा

असहमति का सार

हाल ही में प्रमुख मीडिया и विषयगत मंच (Habr सहित), वे अक्सर HTTPS (DoH) प्रोटोकॉल पर DNS के बारे में लिखते हैं। यह DNS सर्वर के अनुरोधों और उन पर प्रतिक्रियाओं को एन्क्रिप्ट करता है। यह दृष्टिकोण आपको उन होस्टों के नाम छिपाने की अनुमति देता है जिन तक उपयोगकर्ता पहुंचता है। प्रकाशनों से हम यह निष्कर्ष निकाल सकते हैं कि नया प्रोटोकॉल (IETF में इसे मंजूरी दे दी 2018 में) ने आईटी समुदाय को दो खेमों में बांट दिया।

आधे लोगों का मानना ​​है कि नया प्रोटोकॉल इंटरनेट सुरक्षा में सुधार करेगा और वे इसे अपने अनुप्रयोगों और सेवाओं में लागू कर रहे हैं। बाकी आधे लोगों का मानना ​​है कि प्रौद्योगिकी केवल सिस्टम प्रशासकों के काम को और अधिक कठिन बना देती है। आगे हम दोनों पक्षों की दलीलों का विश्लेषण करेंगे.

डीओएच कैसे काम करता है

इससे पहले कि हम यह जानें कि आईएसपी और अन्य बाजार सहभागी एचटीटीपीएस पर डीएनएस के पक्ष में या उसके खिलाफ क्यों हैं, आइए संक्षेप में देखें कि यह कैसे काम करता है।

DoH के मामले में, IP पता निर्धारित करने का अनुरोध HTTPS ट्रैफ़िक में समाहित है। इसके बाद यह HTTP सर्वर पर जाता है, जहां इसे एपीआई का उपयोग करके संसाधित किया जाता है। यहां RFC 8484 से एक उदाहरण अनुरोध है (पेज 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

इस प्रकार, DNS ट्रैफ़िक HTTPS ट्रैफ़िक में छिपा हुआ है। क्लाइंट और सर्वर मानक पोर्ट 443 पर संचार करते हैं। परिणामस्वरूप, डोमेन नाम सिस्टम के अनुरोध गुमनाम रहते हैं।

उसका पक्ष क्यों नहीं लिया जाता?

HTTPS पर DNS के विरोधी वे कहते हैंकि नए प्रोटोकॉल से कनेक्शन की सुरक्षा कम हो जाएगी. द्वारा के अनुसार डीएनएस विकास टीम के सदस्य पॉल विक्सी, सिस्टम प्रशासकों के लिए संभावित दुर्भावनापूर्ण साइटों को ब्लॉक करना अधिक कठिन बना देंगे। सामान्य उपयोगकर्ता ब्राउज़र में सशर्त अभिभावकीय नियंत्रण स्थापित करने की क्षमता खो देंगे।

पॉल के विचार यूके के इंटरनेट प्रदाताओं द्वारा साझा किए जाते हैं। देश विधान करता है उन्हें प्रतिबंधित सामग्री वाले संसाधनों से ब्लॉक करें। लेकिन ब्राउज़र में DoH के लिए समर्थन ट्रैफ़िक को फ़िल्टर करने के कार्य को जटिल बना देता है। नए प्रोटोकॉल के आलोचकों में इंग्लैंड का सरकारी संचार केंद्र भी शामिल है (जीसीएचक्यू) और इंटरनेट वॉच फाउंडेशन (आईडब्ल्यूएफ), जो अवरुद्ध संसाधनों का एक रजिस्टर रखता है।

हैबे पर हमारे ब्लॉग में:

• संयुक्त राज्य अमेरिका में रोबोकॉल पर युद्ध - कौन जीत रहा है और क्यों
• ब्रिटिश टेलीकॉम ग्राहकों को सेवा में रुकावट के लिए मुआवजा देगी

विशेषज्ञ ध्यान दें कि HTTPS पर DNS एक साइबर सुरक्षा खतरा बन सकता है। जुलाई की शुरुआत में, नेटलैब के सूचना सुरक्षा विशेषज्ञ खोज लिया है पहला वायरस जिसने DDoS हमलों को अंजाम देने के लिए नए प्रोटोकॉल का उपयोग किया - गोडलुआ. मैलवेयर ने टेक्स्ट रिकॉर्ड (TXT) प्राप्त करने और कमांड निकालने और सर्वर यूआरएल को नियंत्रित करने के लिए DoH तक पहुंच बनाई।

एन्क्रिप्टेड DoH अनुरोधों को एंटीवायरस सॉफ़्टवेयर द्वारा मान्यता नहीं दी गई थी। सूचना सुरक्षा विशेषज्ञ डरगोडलुआ के बाद अन्य मैलवेयर आएंगे, जो निष्क्रिय डीएनएस निगरानी के लिए अदृश्य होंगे।

लेकिन हर कोई इसके ख़िलाफ़ नहीं है

अपने ब्लॉग पर HTTPS पर DNS के बचाव में बोला एपीएनआईसी इंजीनियर ज्योफ ह्यूस्टन। उनके अनुसार, नया प्रोटोकॉल डीएनएस अपहरण हमलों से निपटना संभव बना देगा, जो हाल ही में तेजी से आम हो गए हैं। इस तथ्य पुष्टि साइबर सुरक्षा कंपनी FireEye की जनवरी रिपोर्ट। बड़ी आईटी कंपनियों ने भी प्रोटोकॉल के विकास का समर्थन किया।

पिछले साल की शुरुआत में, Google पर DoH का परीक्षण शुरू हुआ। और एक महीने पहले कंपनी प्रस्तुत इसकी DoH सेवा का सामान्य उपलब्धता संस्करण। गूगल पर आशा, कि यह नेटवर्क पर व्यक्तिगत डेटा की सुरक्षा बढ़ाएगा और MITM हमलों से बचाएगा।

एक अन्य ब्राउज़र डेवलपर - मोज़िला - का समर्थन करता है पिछली गर्मियों से HTTPS पर DNS। साथ ही, कंपनी आईटी परिवेश में नई तकनीक को सक्रिय रूप से बढ़ावा दे रही है। इसके लिए इंटरनेट सेवा प्रदाता संघ (आईएसपीए) यहां तक ​​कि नामांकित भी इंटरनेट विलेन ऑफ द ईयर पुरस्कार के लिए मोज़िला। जवाब में, कंपनी के प्रतिनिधि विख्यात, जो अपने पुराने इंटरनेट बुनियादी ढांचे में सुधार करने के लिए दूरसंचार ऑपरेटरों की अनिच्छा से निराश हैं।

/अनस्प्लैश/ TETrebbien

मोज़िला के समर्थन में प्रमुख मीडिया ने बात की और कुछ इंटरनेट प्रदाता। विशेष रूप से, ब्रिटिश टेलीकॉम में विचार करनाकि नया प्रोटोकॉल सामग्री फ़िल्टरिंग को प्रभावित नहीं करेगा और यूके उपयोगकर्ताओं की सुरक्षा में सुधार करेगा। जनता के दबाव में ISPA वापस बुलाना पड़ा "खलनायक" नामांकन.

उदाहरण के लिए, क्लाउड प्रदाताओं ने HTTPS पर DNS की शुरूआत की भी वकालत की CloudFlare. वे पहले से ही नए प्रोटोकॉल के आधार पर DNS सेवाएँ प्रदान करते हैं। DoH का समर्थन करने वाले ब्राउज़र और क्लाइंट की पूरी सूची यहां उपलब्ध है GitHub.

किसी भी स्थिति में दोनों खेमों के बीच टकराव खत्म होने के बारे में बात करना अभी संभव नहीं है. आईटी विशेषज्ञों का अनुमान है कि यदि एचटीटीपीएस पर डीएनएस को मुख्यधारा की इंटरनेट प्रौद्योगिकी स्टैक का हिस्सा बनना तय है, तो यह होगा एक दशक नहीं.

हम अपने कॉर्पोरेट ब्लॉग में और क्या लिखते हैं:

• इंटरनेट प्रदाता नेटवर्क कैसे बनाया जाता है
• इंटरनेट प्रदाता नेटवर्क में बुनियादी सेवाएँ
• अभिसरण और एकीकरण - एक डिवाइस पर एकाधिक कार्य

स्रोत: www.habr.com