Mozilla predstavlja trećeg pružatelja usluge DNS-over-HTTPS za Firefox

Tvrtka Mozilla zaključio ugovor s trećim dobavljačima DNS preko HTTPS (DoH, DNS preko HTTPS) za Firefox. Uz ranije ponuđene DNS poslužitelje CloudFlare (“https://1.1.1.1/dns-query”) i NextDNS (https://dns.nextdns.io/id), usluga Comcast također će biti uključena u postavke (https://doh.xfinity.com/dns-query). Aktivirajte DoH i odaberite usluga može se u postavkama mrežne veze.

Prisjetimo se da je Firefox 77 uključivao DNS preko HTTPS testa sa svakim klijentom koji šalje 10 testnih zahtjeva i automatski odabire DoH providera. Ova je provjera morala biti onemogućena u izdanju 77.0.1, budući da se pretvorio u svojevrsni DDoS napad na NextDNS servis, koji se nije mogao nositi s opterećenjem.

DoH pružatelji usluga koji se nude u Firefoxu odabiru se prema zahtjevima pouzdanim DNS rezolverima, prema kojima DNS operater može koristiti primljene podatke za rješavanje samo za osiguranje rada usluge, ne smije pohranjivati ​​zapise dulje od 24 sata, ne može prenositi podatke trećim stranama, te je dužan otkriti informacije o metodama obrade podataka. Usluga se također mora obvezati da neće cenzurirati, filtrirati, ometati ili blokirati DNS promet, osim ako to zahtijeva zakon.

Također se mogu zabilježiti događaji povezani s DNS-over-HTTPS odluka Apple će implementirati podršku za DNS-over-HTTPS i DNS-over-TLS u budućim izdanjima iOS-a 14 i macOS-a 11, kao i dodati podrška za proširenja WebExtension u Safariju.

Podsjetimo se da DoH može biti koristan za sprječavanje curenja informacija o traženim imenima hostova kroz DNS poslužitelje pružatelja usluga, borbu protiv MITM napada i lažiranja DNS prometa (na primjer, pri povezivanju na javni Wi-Fi), suzbijanje blokiranja na razini DNS-a (DoH ne može zamijeniti VPN u području zaobilaženja blokiranja implementiranog na razini DPI) ili za organizaciju rada u slučaju da je nemoguće izravno pristupiti DNS poslužiteljima (na primjer, kada radite putem proxyja). Dok se u normalnoj situaciji DNS zahtjevi šalju izravno na DNS poslužitelje definirane u konfiguraciji sustava, u slučaju DoH-a, zahtjev za određivanjem IP adrese glavnog računala enkapsuliran je u HTTPS promet i poslan na HTTP poslužitelj, na kojem se rješavač obrađuje zahtjeve putem Web API-ja. Trenutačni DNSSEC standard koristi enkripciju samo za autentifikaciju klijenta i poslužitelja, ali ne štiti promet od presretanja i ne jamči povjerljivost zahtjeva.

Izvor: opennet.ru