Ezt követően a Google cég bejelentette, hogy kísérletet végez, hogy ellenőrizze a Chrome böngészőhöz fejlesztett "DNS HTTPS felett" (DoH, DNS over HTTPS) megvalósítást. A Chrome 78 megjelenésével, amelyet október 22-re terveznek, bizonyos felhasználói kategóriákat alapértelmezés szerint a DoH használatára. A DoH bevezetéséhez csak azok a felhasználók csatlakoznak, akiknek a jelenlegi rendszerbeállításaiban olyan DNS-szolgáltatók szerepelnek, amelyek kompatibilisek a DoH-val.
A DNS-szolgáltatók fehér listájába tartozik Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) és DNS.SB (185.222.222.222, 185.184.222.222). Ha a felhasználó DNS-beállításaiban az említett DNS-szerverek egyike szerepel, a DoH alapértelmezés szerint aktiválva lesz a Chrome-ban. Azok számára, akik a helyi internetszolgáltató által biztosított DNS-szervereket használják, minden a régi marad, és a DNS-lekérdezésekhez továbbra is a rendszeres felbontó kerül felhasználásra.
Fontos eltérés a Firefox DoH bevezetésétől, ahol a DoH fokozatos alapértelmezés szerinti aktiválása szeptember végén kezdődik, hogy a Chrome nem kötődik egyetlen DoH-szolgáltatóhoz sem. Ha a Firefox alapértelmezés szerint a CloudFlare DNS-szerverét használja, akkor a Chrome-ban csak a DNS kezelésének módszere frissül egy megfelelő szolgáltatásra, anélkül, hogy a DNS-szolgáltatót cserélnék. Például, ha a felhasználó a rendszerbeállításokban az 8.8.8.8 DNS-t jelölte meg, akkor a Chrome-ban a Google DoH szolgáltatása ("https://dns.google.com/dns-query"), ha a DNS 1.1.1.1, akkor a Cloudflare DoH szolgáltatása ("https://cloudflare-dns.com/dns-query"), és
A felhasználó kérésére engedélyezheti vagy letilthatja a DoH-t a "chrome://flags/#dns-over-https" beállítással. Három üzemmód támogatott: "secure", "automatic" és "off". A "secure" módban a hosztok kizárólag a korábban gyorsítótárazott biztonságos értékek (védett kapcsolaton keresztül szerzett) és a DoH-n keresztüli lekérdezések alapján kerülnek meghatározásra, a normál DNS-re való visszaállás nem alkalmazható. Az "automatic" módban, ha a DoH és a védett gyorsítótár nem elérhető, megengedett az adatok megszerzése a nem biztonságos gyorsítótárból és a hagyományos DNS-en keresztüli lekérdezés. Az "off" módban először az összes gyorsítótárat ellenőrzik, és ha az adatok nem állnak rendelkezésre, a lekérdezés a rendszeres DNS-en keresztül történik. Az üzemmód a kDnsOverHttpsMode , míg a szerverekhez való hozzárendelés mintája a kDnsOverHttpsTemplates révén állítható be.
A DoH activation experiment will be conducted on all platforms supported by Chrome, except for Linux and iOS due to the non-triviality of parsing resolver settings and restricted access to DNS system settings. If any issues arise when sending requests to the DoH server after enabling DoH (for instance, due to its blocking, network connectivity issues, or malfunctions), the browser will automatically revert to the system DNS settings.
The purpose of conducting the experiment is the final verification of DoH implementation and studying its impact on performance. It is worth noting that support for DoH was actually added to the Chrome codebase back in February, but required Let's remember that DoH can be beneficial to eliminate leaks of information regarding requested hostnames through provider DNS servers, combat MITM attacks and DNS traffic replacement (for example, when connecting to public Wi-Fi), resist DNS-level blocks (DoH cannot replace VPN in bypassing blocks implemented at the DPI level), or organize operations in cases where direct access to DNS servers is not possible (for instance, when working through a proxy). In normal situations, DNS queries are directly sent to specific DNS servers defined in the system configuration, but in the case of DoH, the request to determine a host's IP address is encapsulated in HTTPS traffic and sent to an HTTP server, where the resolver processes requests through a Web API. The existing DNSSEC standard only uses encryption for client and server authentication but does not protect traffic from interception and does not guarantee the confidentiality of queries.
The release of the Funtoo 1.4 distribution, developed by the founder of Gentoo Linux
Forrás: opennet.ru
