अमेरिकी उपयोगकर्ताओं के लिए फ़ायरफ़ॉक्स में डीएनएस-ओवर-एचटीटीपीएस डिफ़ॉल्ट रूप से सक्षम है

फ़ायरफ़ॉक्स डेवलपर्स की घोषणा की अमेरिकी उपयोगकर्ताओं के लिए डिफ़ॉल्ट रूप से HTTPS पर DNS (DoH, HTTPS पर DNS) मोड को सक्षम करने के बारे में। DNS ट्रैफ़िक का एन्क्रिप्शन उपयोगकर्ताओं की सुरक्षा में एक मौलिक रूप से महत्वपूर्ण कारक माना जाता है। आज से, अमेरिकी उपयोगकर्ताओं द्वारा सभी नए इंस्टॉलेशन में DoH डिफ़ॉल्ट रूप से सक्षम होगा। मौजूदा अमेरिकी उपयोगकर्ताओं को कुछ हफ्तों के भीतर DoH पर स्विच किया जाना निर्धारित है। यूरोपीय संघ और अन्य देशों में, अभी के लिए DoH को डिफ़ॉल्ट रूप से सक्रिय करें योजना मत बनाओ.

DoH को सक्रिय करने के बाद, उपयोगकर्ता को एक चेतावनी प्रदर्शित की जाती है, जो वांछित होने पर, केंद्रीकृत DoH DNS सर्वर से संपर्क करने से इनकार करने और प्रदाता के DNS सर्वर पर अनएन्क्रिप्टेड क्वेरी भेजने की पारंपरिक योजना पर लौटने की अनुमति देती है। DNS रिज़ॉल्वर के वितरित बुनियादी ढांचे के बजाय, DoH एक विशिष्ट DoH सेवा के लिए बाइंडिंग का उपयोग करता है, जिसे विफलता का एकल बिंदु माना जा सकता है। वर्तमान में, काम दो DNS प्रदाताओं - CloudFlare (डिफ़ॉल्ट) और के माध्यम से पेश किया जाता है NextDNS.

प्रदाता बदलें या DoH अक्षम करें एक कर सकते हैं नेटवर्क कनेक्शन सेटिंग्स में. उदाहरण के लिए, आप Google सर्वर, "https://dns.quad9.net/dns-query" - Quad9 और "https:/" तक पहुंचने के लिए एक वैकल्पिक DoH सर्वर "https://dns.google/dns-query" निर्दिष्ट कर सकते हैं। /doh .opendns.com/dns-query" - ओपनडीएनएस। About:config नेटवर्क.trr.mode सेटिंग भी प्रदान करता है, जिसके माध्यम से आप DoH ऑपरेटिंग मोड को बदल सकते हैं: 0 का मान DoH को पूरी तरह से अक्षम कर देता है; 1 - DNS या DoH का उपयोग किया जाता है, जो भी तेज़ हो; 2 - DoH का उपयोग डिफ़ॉल्ट रूप से किया जाता है, और DNS का उपयोग फ़ॉलबैक विकल्प के रूप में किया जाता है; 3 - केवल DoH का उपयोग किया जाता है; 4 - मिररिंग मोड जिसमें DoH और DNS का उपयोग समानांतर में किया जाता है।

आइए याद रखें कि DoH प्रदाताओं के DNS सर्वरों के माध्यम से अनुरोधित होस्ट नामों के बारे में जानकारी के लीक को रोकने, MITM हमलों और DNS ट्रैफ़िक स्पूफिंग (उदाहरण के लिए, सार्वजनिक वाई-फाई से कनेक्ट होने पर), DNS पर अवरोध का मुकाबला करने के लिए उपयोगी हो सकता है। स्तर (डीओएच डीपीआई स्तर पर कार्यान्वित अवरोधन को दरकिनार करने के क्षेत्र में वीपीएन को प्रतिस्थापित नहीं कर सकता है) या काम को व्यवस्थित करने के लिए यदि डीएनएस सर्वर तक सीधे पहुंचना असंभव है (उदाहरण के लिए, प्रॉक्सी के माध्यम से काम करते समय)। यदि सामान्य स्थिति में DNS अनुरोध सीधे सिस्टम कॉन्फ़िगरेशन में परिभाषित DNS सर्वर पर भेजे जाते हैं, तो DoH के मामले में, होस्ट के आईपी पते को निर्धारित करने का अनुरोध HTTPS ट्रैफ़िक में समाहित किया जाता है और HTTP सर्वर पर भेजा जाता है, जहां रिज़ॉल्वर प्रक्रिया करता है वेब एपीआई के माध्यम से अनुरोध। मौजूदा DNSSEC मानक केवल क्लाइंट और सर्वर को प्रमाणित करने के लिए एन्क्रिप्शन का उपयोग करता है, लेकिन ट्रैफ़िक को अवरोध से नहीं बचाता है और अनुरोधों की गोपनीयता की गारंटी नहीं देता है।

फ़ायरफ़ॉक्स में प्रस्तावित DoH प्रदाताओं का चयन करने के लिए, आवश्यकताओं भरोसेमंद DNS रिज़ॉल्वर के अनुसार, DNS ऑपरेटर केवल सेवा के संचालन को सुनिश्चित करने के लिए रिज़ॉल्यूशन के लिए प्राप्त डेटा का उपयोग कर सकता है, उसे 24 घंटे से अधिक समय तक लॉग स्टोर नहीं करना चाहिए, डेटा को तीसरे पक्ष को स्थानांतरित नहीं कर सकता है और इसके बारे में जानकारी का खुलासा करने के लिए बाध्य है डेटा प्रोसेसिंग के तरीके. सेवा को कानून द्वारा प्रदान की गई स्थितियों को छोड़कर, DNS ट्रैफ़िक को सेंसर, फ़िल्टर, हस्तक्षेप या ब्लॉक नहीं करने के लिए भी सहमत होना चाहिए।

DoH का उपयोग सावधानी से किया जाना चाहिए। उदाहरण के लिए, रूसी संघ में, फ़ायरफ़ॉक्स में पेश किए गए डिफ़ॉल्ट DoH सर्वर mozilla.cloudflare-dns.com से जुड़े IP पते 104.16.248.249 और 104.16.249.249 हैं, सूचीबद्ध в सूचियों अवरुद्ध Roskomnadzor 10.06.2013 जून XNUMX को स्टावरोपोल अदालत के अनुरोध पर।

डीओएच माता-पिता की नियंत्रण प्रणाली, कॉर्पोरेट सिस्टम में आंतरिक नामस्थान तक पहुंच, सामग्री वितरण अनुकूलन प्रणालियों में मार्ग चयन और अवैध सामग्री के वितरण और शोषण से निपटने के क्षेत्र में अदालत के आदेशों के अनुपालन जैसे क्षेत्रों में भी समस्याएं पैदा कर सकता है। नाबालिग. ऐसी समस्याओं से बचने के लिए, एक जांच प्रणाली लागू और परीक्षण की गई है जो कुछ शर्तों के तहत DoH को स्वचालित रूप से अक्षम कर देती है।

एंटरप्राइज़ रिज़ॉल्वर की पहचान करने के लिए, असामान्य प्रथम-स्तरीय डोमेन (टीएलडी) की जाँच की जाती है और सिस्टम रिज़ॉल्वर इंट्रानेट पते लौटाता है। यह निर्धारित करने के लिए कि माता-पिता का नियंत्रण सक्षम है या नहीं, exampleadultsite.com नाम को हल करने का प्रयास किया जाता है और यदि परिणाम वास्तविक आईपी से मेल नहीं खाता है, तो यह माना जाता है कि वयस्क सामग्री अवरोधन DNS स्तर पर सक्रिय है। Google और YouTube आईपी पते को यह देखने के लिए संकेतों के रूप में भी जांचा जाता है कि क्या उन्हें प्रतिबंधित.यूट्यूब.कॉम, Forceafesearch.google.com और प्रतिबंधित मॉडरेट.यूट्यूब.com द्वारा प्रतिस्थापित किया गया है। ये जाँचें उन हमलावरों को अनुमति देती हैं जो रिज़ॉल्वर के संचालन को नियंत्रित करते हैं या ट्रैफ़िक में हस्तक्षेप करने में सक्षम हैं ताकि DNS ट्रैफ़िक के एन्क्रिप्शन को अक्षम करने के लिए ऐसे व्यवहार का अनुकरण किया जा सके।

एकल DoH सेवा के माध्यम से काम करने से संभावित रूप से सामग्री वितरण नेटवर्क में ट्रैफ़िक अनुकूलन के साथ समस्याएं पैदा हो सकती हैं जो DNS का उपयोग करके ट्रैफ़िक को संतुलित करते हैं (सीडीएन नेटवर्क का DNS सर्वर रिज़ॉल्वर पते को ध्यान में रखते हुए एक प्रतिक्रिया उत्पन्न करता है और सामग्री प्राप्त करने के लिए निकटतम होस्ट प्रदान करता है) . ऐसे सीडीएन में उपयोगकर्ता के निकटतम रिज़ॉल्वर से DNS क्वेरी भेजने पर उपयोगकर्ता के निकटतम होस्ट का पता वापस आ जाता है, लेकिन केंद्रीकृत रिज़ॉल्वर से DNS क्वेरी भेजने पर DNS-ओवर-HTTPS सर्वर के निकटतम होस्ट का पता वापस आ जाएगा। . अभ्यास में परीक्षण से पता चला कि सीडीएन का उपयोग करते समय डीएनएस-ओवर-एचटीटीपी के उपयोग से सामग्री स्थानांतरण शुरू होने से पहले वस्तुतः कोई देरी नहीं हुई (तेज कनेक्शन के लिए, देरी 10 मिलीसेकंड से अधिक नहीं थी, और धीमे संचार चैनलों पर भी तेज प्रदर्शन देखा गया था) ). सीडीएन रिज़ॉल्वर को क्लाइंट स्थान की जानकारी प्रदान करने के लिए ईडीएनएस क्लाइंट सबनेट एक्सटेंशन के उपयोग पर भी विचार किया गया।

स्रोत: opennet.ru