Nakon dvije godine razvoja, konzorcij ISC predstavio je prvu stabilnu verziju nove zna\u010dajne grane DNS poslu\u017eitelja BIND 9.18. Podr\u0161ka za granu 9.18 bit \u0107e osigurana tijekom tri godine do drugog kvartala 2025. godine, unutar pro\u0161irenog ciklusa odr\u017eavanja. Podr\u0161ka za granu 9.11 prestat \u0107e u o\u017eujku, a za granu 9.16 sredinom 2023. godine. Za razvoj funkcionalnosti sljede\u0107e stabilne verzije BIND-a formirana je eksperimentalna grana BIND 9.19.0. <\/p>\n
Izlazak BIND 9.18.0 je zna\u010dajan zbog implementacije podr\u0161ke za tehnologije \u201eDNS preko HTTPS\u201c (DoH, DNS over HTTPS) i DNS preko TLS (DoT, DNS over TLS), kao i mehanizma XoT (XFR-over-TLS) za sigurnu prijenos sadr\u017eaja DNS zona izme\u0111u servera (podr\u017eava se i slanje i primanje zona putem XoT). Uz odgovaraju\u0107e postavke, jedan proces named sada mo\u017ee obraditi ne samo tradicionalne DNS upite, ve\u0107 i upite poslane kori\u0161tenjem DNS-over-HTTPS i DNS-over-TLS. Klijentska podr\u0161ka za DNS-over-TLS je ugra\u0111ena u alat dig, koji se mo\u017ee koristiti za slanje upita preko TLS uz ozna\u010davanje s flagom \u201e+tls\u201c. <\/p>\n
Implementacija protokola HTTP\/2, koji se koristi u DoH, temelji se na primjeni biblioteke nghttp2, koja je uklju\u010dena u skup opcionalnih ovisnosti za gradnju. Certifikati za DoH i DoT mogu biti pru\u017eeni od strane korisnika ili generirani automatski tijekom pokretanja. <\/p>\n
Obrada upita pomo\u0107u DoH i DoT uklju\u010duje dodavanje opcija \u201ehttp\u201c i \u201etls\u201c u direktivu listen-on. Za podr\u0161ku ne\u0161ifriranom DNS-over-HTTP u postavkama treba navesti \u201etls none\u201c. Klju\u010devi se definiraju u sekciji \u201etls\u201c. Standardne mre\u017ene portove 853 za DoT, 443 za DoH i 80 za DNS-over-HTTP mo\u017ee se redefinirati putem parametara tls-port, https-port i http-port. Na primjer: <\/p>\n
tls local-tls { key-file \"\/path\/to\/priv_key.pem\"; cert-file \"\/path\/to\/cert_chain.pem\"; }; http local-http-server { endpoints { \"\/dns-query\"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Jedna od karakteristika implementacije DoH u BIND-u je mogu\u0107nost premje\u0161tanja operacija \u0161ifriranja za TLS na drugi poslu\u017eitelj, \u0161to mo\u017ee biti potrebno u situacijama kada se TLS certifikati pohranjuju na drugom sustavu (npr. u infrastrukturi s web poslu\u017eiteljima) i njima upravlja drugi osoblje. Podr\u0161ka za ne\u0161ifrirani DNS-over-HTTP implementirana je za pojednostavljenje otklanjanja gre\u0161aka i kao nivo za proslje\u0111ivanje na drugi poslu\u017eitelj unutar interne mre\u017ee (za premje\u0161tanje \u0161ifriranja na zaseban poslu\u017eitelj). Na premje\u0161tanom poslu\u017eitelju za generiranje TLS prometa mo\u017ee se koristiti nginx, na sli\u010dan na\u010din kao \u0161to se organizira obloga HTTPS za web stranice. <\/p>\n
Druga karakteristika je integracija DoH kao zajedni\u010dkog transporta, koji se mo\u017ee koristiti ne samo za obradu zahtjeva klijenata prema resolveru, ve\u0107 i za razmjenu podataka izme\u0111u poslu\u017eitelja, prilikom prijenosa zona od strane autoritativnog DNS poslu\u017eitelja i za obradu bilo kojih zahtjeva podr\u017eanih drugim DNS transportima. <\/p>\n
Me\u0111u nedostacima, koje \u0107e se mo\u0107i ubla\u017eiti isklju\u010divanjem izrade s DoH\/DoT ili prebacivanjem \u0161ifriranja na drugi server, isti\u010de se op\u0107enito slo\u017eenje kodne baze \u2014 dodan je ugra\u0111eni HTTP server i TLS knji\u017enica, koji potencijalno mogu sadr\u017eavati ranjivosti i predstavljati dodatne vektore za napade. Tako\u0111er, kori\u0161tenjem DoH se pove\u0107ava promet. <\/p>\n
Podsjetimo, DNS-over-HTTPS mo\u017ee biti koristan za isklju\u010divanje curenja informacija o tra\u017eenim imenima hostova putem DNS poslu\u017eitelja pru\u017eatelja usluga, borbu protiv MITM napada i zamjene DNS prometa (na primjer, prilikom spajanja na javni Wi-Fi), te suprotstavljanje blokadama na razini DNS (DNS-over-HTTPS ne mo\u017ee zamijeniti VPN<\/a> u podru\u010dju zaobila\u017eenja blokada, implementiranih na razini DPI) ili za organizaciju rada u slu\u010daju nemogu\u0107nosti izravnog pristupa DNS poslu\u017eiteljima (na primjer, prilikom rada putem proxyja). Ako se u obi\u010dnoj situaciji DNS upiti izravno \u0161alju na odre\u0111ene DNS poslu\u017eitelje definirane u konfiguraciji sustava, u slu\u010daju DNS-over-HTTPS upit za odre\u0111ivanje IP adrese<\/a> hosta je inkapsuliran u HTTPS prometu i \u0161alje se na HTTP poslu\u017eitelj, na kojem resolver obra\u0111uje upite putem Web API-ja. <\/p>\n \"DNS preko TLS\" se razlikuje od \"DNS preko HTTPS\" upotrebom standardnog DNS protokola (obi\u010dno koristi mre\u017eni port 853), koji je omotan u \u0161ifrirani komunikacijski kanal organiziran pomo\u0107u TLS protokola uz provjeru valjanosti hosta preko TLS\/SSL certifikata, koju ovjerava certifikacijsko tijelo. Postoje\u0107i DNSSEC standard koristi \u0161ifriranje samo za autentifikaciju klijenta i servera, ali ne \u0161titi promet od presretanja niti jam\u010di privatnost upita. <\/p>\n Neka druga pobolj\u0161anja: <\/p>\n\n