Nakon tvrtka Google o namjeri provođenja eksperimenta za provjeru implementacije „DNS preko HTTPS” (DoH, DNS over HTTPS) koja se razvija za preglednik Chrome. U izdanju Chrome 78, planiranom za 22. listopada, neka korisnička kategorija će imati zadano na korištenje DoH-a. U eksperimentu uključivanja DoH-a sudjelovat će samo korisnici čije trenutne sistemske postavke sadrže određene DNS-provideće koji su priznati kao kompatibilni s DoH-om.
Na bijelu listu DNS-provideća uključeni su Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) i DNS.SB (185.222.222.222, 185.184.222.222). Ako je u korisničkim DNS postavkama naveden jedan od gore spomenutih DNS-poslužitelja, DoH u Chromeu će biti aktiviran prema zadanim postavkama. Za one koji koriste DNS-poslužitelje koje pruža lokalni internetski pružatelj, sve će ostati nepromijenjeno i za DNS upite će se i dalje koristiti sistemski rezolver.
Važna razlika u implementaciji DoH-a u Firefoxu, gdje će postepeno uključivanje DoH-a po zadanim postavkama već krajem rujna, je odsutnost vezivanja na jedan DoH servis. Dok će u Firefoxu po zadanim postavkama DNS-poslužitelj CloudFlare, u Chromeu će samo doći do ažuriranja metode rada s DNS-om na ekvivalentni servis, bez promjene DNS-provideća. Na primjer, ako je korisniku u sistemskim postavkama naveden DNS 8.8.8.8, tada će u Chromeu biti DoH-servis Googlea („https://dns.google.com/dns-query”), ako je DNS — 1.1.1.1, tada će DoH servis Cloudflare („https://cloudflare-dns.com/dns-query”) i
Ako korisnik želi, može uključiti ili isključiti DoH putem postavke „chrome://flags/#dns-over-https”. Podržana su tri načina rada „secure”, „automatic” i „off”. U načinu „secure” hostovi se određuju isključivo na temelju prethodno predmemoriranih sigurnih vrijednosti (dobivenih putem sigurnog spoja) i upita putem DoH-a, povratak na obični DNS nije moguć. U načinu „automatic”, ako DoH i sigurni keš nisu dostupni, dopušteno je dobivanje podataka iz nesigurnog keša i obraćanje putem tradicionalnog DNS-a. U načinu „off”, prvo se provjerava zajednički keš i ako podaci nisu dostupni, upit se šalje putem sistemskog DNS-a. Način rada postavlja se putem kDnsOverHttpsMode, a predložak za usklađivanje poslužitelja putem kDnsOverHttpsTemplates.
Eksperiment uključivanja DoH-a bit će proveden na svim podržanim platformama u Chromeu, osim na Linuxu i iOS-u zbog složenosti analize postavki resolvera i ograničenja pristupa sistemskim DNS postavkama. Ako se nakon uključivanja DoH-a pojave problemi s slanjem zahtjeva na DoH poslužitelj (na primjer, zbog njegove blokade, prekida mrežne povezanosti ili kvara), preglednik će automatski vratiti sistemske DNS postavke.
Cilj eksperimenta je završna provjera implementacije DoH-a i istraživanje utjecaja korištenja DoH-a na performanse. Treba napomenuti da je podrška za DoH zapravo uvrštena u osnovni kod Chromea još u veljači, no za konfiguraciju i uključivanje DoH-a pokretanje Chromea s posebnim flagom i nejasnim skupom opcija.
Podsjetimo, DoH može biti koristan za izbjegavanje curenja informacija o traženim imenima hostova preko DNS poslužitelja pružatelja usluga, borbu protiv MITM napada i zamjenu DNS prometa (na primjer, pri povezivanju na javne Wi-Fi mreže), suprotstavljanje blokadama na razini DNS-a (DoH ne može zamijeniti VPN u području zaobilaženja blokada implementiranih na razini DPI-a) ili za organiziranje rada u slučaju nemogućnosti izravnog pristupa DNS poslužiteljima (na primjer, pri radu preko proxyja). Dok se u normalnoj situaciji DNS zahtjevi izravno šalju određenim DNS poslužiteljima u konfiguraciji sustava, u slučaju DoH-a zahtjev za određivanje IP adrese hosta inkapsulira se u HTTPS promet i šalje na HTTP poslužitelj, na kojem resolver obrađuje zahtjeve putem Web API-ja. Postojeći standard DNSSEC koristi enkripciju samo za autentifikaciju klijenta i poslužitelja, ali ne štiti promet od presretanja i ne jamči povjerljivost zahtjeva.
Izvor: opennet.ru
