Razvojni programeri Firefox-a o završetku testiranja podrške za DNS preko HTTPS (DoH, DNS over HTTPS) i namjeri da se krajem rujna ova tehnologija uključi kao zadana za korisnike u SAD-u. Uključivanje će se odvijati postepeno, prvo za nekoliko postotaka korisnika, a u slučaju odsustva problema postupno se povećavati do 100%. Nakon pokrivenosti SAD-a razmotrit će se mogućnost uključivanja DoH-a i u drugim zemljama.
Provedena testiranja tijekom godine pokazala su pouzdanost i dobru izvedbu usluge, a također su otkrila neke situacije kada DoH može uzrokovati probleme i razradila rješenja za njihovo zaobilaženje (na primjer, razrađeni su s optimizacijom prometa u mrežama isporuke sadržaja, roditeljskom kontrolom i korporativnim internim DNS zonama).
Važnost šifriranja DNS prometa smatra se ključnim faktorom zaštite korisnika, stoga je odlučeno uključiti DoH kao zadano rješenje, no u prvom koraku samo za korisnike iz SAD-a. Nakon aktivacije DoH-a korisniku će se prikazati upozorenje koje će mu omogućiti da po želji odustane od korištenja centraliziranih DoH DNS poslužitelja i vrati se na tradicionalni način slanja nešifriranih upita DNS poslužitelju svog davatelja usluga (umjesto distribuirane infrastrukture DNS resolvera, u DoH-u je korišteno vezivanje za određenu DoH uslugu koja se može smatrati jedinstvenom točkom otkaza).
Pri aktivaciji DoH-a može doći do problema s radom sustava roditeljske kontrole i korporativnih mreža koje koriste strukturu imena DNS dostupnu samo za unutarnju mrežu za prevođenje intranet adresa i korporativnih hostova. Za rješavanje problema s takvim sustavima dodan je sustav provjera koji automatski isključuje DoH. Provjere se izvršavaju pri svakom pokretanju preglednika ili pri utvrđivanju promjene podsustava.
Automatski povratak na korištenje zadovoljavajućeg razlučitelja operacijskog sustava također je predviđen u slučaju pojave problema prilikom razlučivanja putem DoH-a (na primjer, u slučaju prekida mrežne dostupnosti s pružateljem DoH-a ili pojave problema u njegovoj infrastrukturi). Smisao takvih provjera je upitan, budući da napadači koji kontroliraju rad razlučitelja ili su u mogućnosti ometati promet mogu simulirati takvo ponašanje kako bi isključili šifriranje DNS prometa. Problem je rešen dodatkom opcije „DoH always” (izdana prema defaultu kao neaktivna) u postavkama, čime se automatsko isključivanje ne primjenjuje, što predstavlja razuman kompromis.
Za određivanje korporativnih razlučitelja provode se provjere netipičnih domena prvog nivoa (TLD) i vraćanje intranet adresa putem sistemskog razlučitelja. Da bi se utvrdilo uključivanje roditeljskog nadzora, pokušava se razlučiti ime exampleadultsite.com i ako se rezultati ne podudaraju s stvarnim IP-jem, smatra se da je aktivna blokada odraslog sadržaja na razini DNS-a. Kao znakovi također se provjeravaju IP adrese Googlea i YouTubea na zamjenu s restrict.youtube.com, forcesafesearch.google.com i restrictmoderate.youtube.com. Dodatno, Mozilla implementirati jedinstveni provjeravački host , koji mogu koristiti internetski pružatelji i usluge roditeljskog nadzora kao oznaku za isključivanje DoH-a (ako se host ne odredi, Firefox isključuje DoH).
Rad preko jedinstvene DoH usluge također potencijalno može dovesti do problema s optimizacijom prometa u mrežama isporuke sadržaja, koje vrše balansiranje prometa koristeći DNS (DNS server CDN mreže formira odgovor, uzimajući u obzir adresu resolvera i isporučuje najbliži host za dobivanje sadržaja). Slanje DNS upita s najbližeg resolvera korisniku u takvim CDN-ima dovodi do vraćanja adrese najbližeg korisniku hosta, ali pri slanju DNS upita s centraliziranog resolvera će biti izdana adresa hosta, najbliža serveru DNS-over-HTTPS. Testiranje u praksi pokazalo je da primjena DNS-over-HTTP prilikom korištenja CDN-a praktično nije dovodila do kašnjenja prije početka prijenosa sadržaja (za brze veze kašnjenja nisu prelazila 10 milisekundi, dok su na sporijim vezama opažena čak ubrzanja rada). Za prenošenje informacija o lokaciji klijenta resolveru CDN, također je razmatrana primjena proširenja EDNS Client Subnet.
Podsjetimo, DoH može biti koristan za izbjegavanje curenja informacija o traženim imenima hostova putem DNS poslužitelja davatelja, borbu protiv MITM napada i zamjene DNS prometa, suprotstavljanje blokadama na razini DNS-a ili za organizaciju rada u slučaju nemogućnosti izravnog pristupa DNS poslužiteljima (na primjer, prilikom rada preko proxyja). Ako se u običnim okolnostima DNS upiti izravno šalju na određene DNS poslužitelje konfigurirane u sustavu, u slučaju DoH, upit za određivanje IP adrese hosta je inkapsuliran u HTTPS promet i šalje se na HTTP poslužitelj, na kojem resolver obrađuje upite putem web API-ja. Postojeći standard DNSSEC koristi enkripciju samo za autentikaciju klijenta i poslužitelja, ali ne štiti promet od presretanja i ne jamči povjerljivost upita.
Za uključivanje DoH u about:config potrebno je promijeniti vrijednost varijable network.trr.mode, koja se podržava od verzije Firefox 60. Vrijednost 0 potpuno isključuje DoH; 1 - koristi DNS ili DoH, ovisno o tome što je brže; 2 - koristi DoH prema zadanim postavkama, a DNS kao rezervnu opciju; 3 - koristi samo DoH; 4 - način zrcaljenja u kojem su DoH i DNS angažirani paralelno. Zadano se koristi DNS poslužitelj CloudFlare, ali ga možete promijeniti putem parametra network.trr.uri, na primjer, možete postaviti „https://dns.google.com/experimental“ ili „https://9.9.9.9/dns-query“.
Izvor: opennet.ru
