मोज़िला फ़ायरफ़ॉक्स में डिफ़ॉल्ट रूप से डीएनएस-ओवर-एचटीटीपीएस को सक्षम करने के लिए आगे बढ़ता है

फ़ायरफ़ॉक्स डेवलपर्स की घोषणा की HTTPS (DoH, HTTPS पर DNS) पर DNS के लिए परीक्षण समर्थन के पूरा होने और सितंबर के अंत में अमेरिकी उपयोगकर्ताओं के लिए डिफ़ॉल्ट रूप से इस तकनीक को सक्षम करने के इरादे के बारे में। शुरुआत में कुछ प्रतिशत उपयोगकर्ताओं के लिए सक्रियण उत्तरोत्तर किया जाएगा, और यदि कोई समस्या नहीं है, तो धीरे-धीरे इसे 100% तक बढ़ाया जाएगा। एक बार जब अमेरिका कवर हो जाएगा, तो डीओएच को अन्य देशों में शामिल करने पर विचार किया जाएगा।

पूरे वर्ष किए गए परीक्षणों से सेवा की विश्वसनीयता और अच्छा प्रदर्शन पता चला, और कुछ स्थितियों की पहचान करना भी संभव हो गया जहां DoH समस्याएं पैदा कर सकता है और उन्हें दूर करने के लिए समाधान विकसित कर सकता है (उदाहरण के लिए, अलग किया गया) समस्याओं सामग्री वितरण नेटवर्क, अभिभावकीय नियंत्रण और कॉर्पोरेट आंतरिक DNS ज़ोन में ट्रैफ़िक अनुकूलन के साथ)।

DNS ट्रैफ़िक को एन्क्रिप्ट करने के महत्व को उपयोगकर्ताओं की सुरक्षा में एक मौलिक रूप से महत्वपूर्ण कारक के रूप में आंका गया है, इसलिए DoH को डिफ़ॉल्ट रूप से सक्षम करने का निर्णय लिया गया था, लेकिन पहले चरण में केवल संयुक्त राज्य अमेरिका के उपयोगकर्ताओं के लिए। DoH को सक्रिय करने के बाद, उपयोगकर्ता को एक चेतावनी प्राप्त होगी जो वांछित होने पर, केंद्रीकृत DoH DNS सर्वर से संपर्क करने से इंकार कर देगी और प्रदाता के DNS सर्वर पर अनएन्क्रिप्टेड अनुरोध भेजने की पारंपरिक योजना पर वापस लौट आएगी (DNS रिज़ॉल्वर के वितरित बुनियादी ढांचे के बजाय, DoH एक विशिष्ट DoH सेवा के लिए बाइंडिंग का उपयोग करता है, जिसे विफलता का एकल बिंदु माना जा सकता है)।

यदि DoH सक्रिय है, तो पैतृक नियंत्रण प्रणाली और कॉर्पोरेट नेटवर्क जो इंट्रानेट पते और कॉर्पोरेट होस्ट को हल करने के लिए केवल आंतरिक नेटवर्क DNS नाम संरचना का उपयोग करते हैं, बाधित हो सकते हैं। ऐसी प्रणालियों की समस्याओं को हल करने के लिए, जाँच की एक प्रणाली जोड़ी गई है जो DoH को स्वचालित रूप से अक्षम कर देती है। हर बार ब्राउज़र लॉन्च होने पर या सबनेट परिवर्तन का पता चलने पर जाँच की जाती है।

यदि DoH के माध्यम से रिज़ॉल्यूशन के दौरान विफलताएं होती हैं, तो मानक ऑपरेटिंग सिस्टम रिज़ॉल्वर का उपयोग करने के लिए एक स्वचालित रिटर्न भी प्रदान किया जाता है (उदाहरण के लिए, यदि DoH प्रदाता के साथ नेटवर्क उपलब्धता बाधित होती है या इसके बुनियादी ढांचे में विफलताएं होती हैं)। इस तरह की जाँच का अर्थ संदिग्ध है, क्योंकि कोई भी उन हमलावरों को नहीं रोकता है जो रिज़ॉल्वर के संचालन को नियंत्रित करते हैं या DNS ट्रैफ़िक के एन्क्रिप्शन को अक्षम करने के लिए समान व्यवहार का अनुकरण करने से ट्रैफ़िक में हस्तक्षेप करने में सक्षम हैं। समस्या को सेटिंग्स में "DoH हमेशा" आइटम जोड़कर हल किया गया था (चुपचाप निष्क्रिय), जब सेट किया जाता है, तो स्वचालित शटडाउन लागू नहीं होता है, जो एक उचित समझौता है।

एंटरप्राइज़ रिज़ॉल्वर की पहचान करने के लिए, असामान्य प्रथम-स्तरीय डोमेन (टीएलडी) की जाँच की जाती है और सिस्टम रिज़ॉल्वर इंट्रानेट पते लौटाता है। यह निर्धारित करने के लिए कि माता-पिता का नियंत्रण सक्षम है या नहीं, exampleadultsite.com नाम को हल करने का प्रयास किया जाता है और यदि परिणाम वास्तविक आईपी से मेल नहीं खाता है, तो यह माना जाता है कि वयस्क सामग्री अवरोधन DNS स्तर पर सक्रिय है। Google और YouTube आईपी पते को यह देखने के लिए संकेतों के रूप में भी जांचा जाता है कि क्या उन्हें प्रतिबंधित.यूट्यूब.कॉम, Forceafesearch.google.com और प्रतिबंधित मॉडरेट.यूट्यूब.कॉम द्वारा प्रतिस्थापित किया गया है। अतिरिक्त मोज़िला प्रदान करता है एकल परीक्षण होस्ट लागू करें उपयोग-एप्लिकेशन-dns.net, जिसे ISP और अभिभावकीय नियंत्रण सेवाएँ DoH को अक्षम करने के लिए ध्वज के रूप में उपयोग कर सकती हैं (यदि होस्ट का पता नहीं चलता है, तो फ़ायरफ़ॉक्स DoH को अक्षम कर देता है)।

एकल DoH सेवा के माध्यम से काम करने से संभावित रूप से सामग्री वितरण नेटवर्क में ट्रैफ़िक अनुकूलन के साथ समस्याएं पैदा हो सकती हैं जो DNS का उपयोग करके ट्रैफ़िक को संतुलित करते हैं (सीडीएन नेटवर्क का DNS सर्वर रिज़ॉल्वर पते को ध्यान में रखते हुए एक प्रतिक्रिया उत्पन्न करता है और सामग्री प्राप्त करने के लिए निकटतम होस्ट प्रदान करता है) . ऐसे सीडीएन में उपयोगकर्ता के निकटतम रिज़ॉल्वर से DNS क्वेरी भेजने पर उपयोगकर्ता के निकटतम होस्ट का पता वापस आ जाता है, लेकिन केंद्रीकृत रिज़ॉल्वर से DNS क्वेरी भेजने पर DNS-ओवर-HTTPS सर्वर के निकटतम होस्ट का पता वापस आ जाएगा। . अभ्यास में परीक्षण से पता चला कि सीडीएन का उपयोग करते समय डीएनएस-ओवर-एचटीटीपी के उपयोग से सामग्री स्थानांतरण शुरू होने से पहले वस्तुतः कोई देरी नहीं हुई (तेज कनेक्शन के लिए, देरी 10 मिलीसेकंड से अधिक नहीं थी, और धीमे संचार चैनलों पर भी तेज प्रदर्शन देखा गया था) ). सीडीएन रिज़ॉल्वर को क्लाइंट स्थान की जानकारी प्रदान करने के लिए ईडीएनएस क्लाइंट सबनेट एक्सटेंशन के उपयोग पर भी विचार किया गया।

आइए याद रखें कि DoH प्रदाताओं के DNS सर्वरों के माध्यम से अनुरोधित होस्ट नामों के बारे में जानकारी के लीक को रोकने, MITM हमलों का मुकाबला करने और DNS ट्रैफ़िक को खराब करने, DNS स्तर पर अवरोधन का मुकाबला करने, या ऐसी स्थिति में कार्य को व्यवस्थित करने के लिए उपयोगी हो सकता है। DNS सर्वर तक सीधे पहुंचना असंभव है (उदाहरण के लिए, प्रॉक्सी के माध्यम से काम करते समय)। यदि सामान्य स्थिति में DNS अनुरोध सीधे सिस्टम कॉन्फ़िगरेशन में परिभाषित DNS सर्वर पर भेजे जाते हैं, तो DoH के मामले में, होस्ट के आईपी पते को निर्धारित करने का अनुरोध HTTPS ट्रैफ़िक में समाहित किया जाता है और HTTP सर्वर पर भेजा जाता है, जहां रिज़ॉल्वर प्रक्रिया करता है वेब एपीआई के माध्यम से अनुरोध। मौजूदा DNSSEC मानक केवल क्लाइंट और सर्वर को प्रमाणित करने के लिए एन्क्रिप्शन का उपयोग करता है, लेकिन ट्रैफ़िक को अवरोध से नहीं बचाता है और अनुरोधों की गोपनीयता की गारंटी नहीं देता है।

DoH को about:config में सक्षम करने के लिए, आपको नेटवर्क.trr.mode वेरिएबल का मान बदलना होगा, जो फ़ायरफ़ॉक्स 60 के बाद से समर्थित है। 0 का मान DoH को पूरी तरह से अक्षम कर देता है; 1 - DNS या DoH का उपयोग किया जाता है, जो भी तेज़ हो; 2 - DoH का उपयोग डिफ़ॉल्ट रूप से किया जाता है, और DNS का उपयोग फ़ॉलबैक विकल्प के रूप में किया जाता है; 3 - केवल DoH का उपयोग किया जाता है; 4 - मिररिंग मोड जिसमें DoH और DNS का उपयोग समानांतर में किया जाता है। डिफ़ॉल्ट रूप से, CloudFlare DNS सर्वर का उपयोग किया जाता है, लेकिन इसे नेटवर्क.trr.uri पैरामीटर के माध्यम से बदला जा सकता है, उदाहरण के लिए, आप "https://dns.google.com/experimental" या "https://9.9.9.9" सेट कर सकते हैं .XNUMX/डीएनएस-क्वेरी "

स्रोत: opennet.ru