Kereskedelmi szövetségek , és , amelyek az internetszolgáltatók érdekeit képviselik, az Egyesült Államok Kongresszusához, kérve, hogy figyeljenek a "DNS HTTPS-en keresztül" (DoH) bevezetésével kapcsolatos problémákra, valamint kérjék a Google-t, hogy adjon részletes információt a DoH jövőbeli terveiről, és vállalja, hogy nem kapcsolja be alapértelmezettként a DNS lekérdezések központosított kezelését a Chrome-ban és Androidon, anélkül hogy előzetes alapos egyeztetést folytatna más ökoszisztéma szereplőkkel, és figyelembe venné a lehetséges negatív következményeket.
Érthetően, hogy a DNS forgalom titkosításának alkalmazása általános jót jelent, a szövetségek elfogadhatatlannak tartják, hogy a névátalakítás irányítása egy kézbe kerüljön, és hogy ezt a mechanizmust alapértelmezettként központosított DNS-szolgáltatásokhoz kössék. Különösen állítják, hogy a Google a DoH alkalmazásának alapértelmezett bevezetése felé halad Androidon és Chrome-ban, ami, ha a Google szervereihez kötődik, sérti a DNS infrastruktúra decentralizált jellegét és egyetlen hibapontot teremt.
Mivel a Chrome és az Android dominál a piacon, ha a Google ráerőlteti a DoH szervereit, lehetősége nyílik arra, hogy ellenőrizze a felhasználók DNS lekérdezéseinek nagy részét. Az infrastruktúra megbízhatóságának csökkentése mellett ez a lépés indokolatlan előnyt ad a Google-nek a versenytársakkal szemben, mivel a vállalat további információkhoz jut a felhasználók tevékenységéről, amelyeket felhasználhat a felhasználói aktivitás nyomon követésére és releváns hirdetések megjelenítésére.
A DoH alkalmazása szintén megzavarhatja a működést olyan területeken, mint a szülői felügyeleti rendszerek, a vállalati rendszerek belső névtereihez való hozzáférés, a tartalomterjesztési rendszerek optimalizálásának útválasztása, és a jogi kötelezettségekkel összhangban a törvénytelen tartalom terjesztése és kiskorúak kihasználása elleni intézkedések végrehajtása. A DNS átirányítást gyakran használják a felhasználók átirányítására olyan oldalakra, amelyek információt közölnek a szolgáltatási keret kifogásairól vagy a vezeték nélküli hálózatra való belépésre.
A Google vállalat , hogy a félelmek alaptalanok, mivel nem tervezik alapértelmezés szerint engedélyezni a DoH-t a Chrome-ban és Androidon. A Chrome 78-ban az alapértelmezett DNS-over-HTTPS (DoH) kísérleti engedélyezése csak azokat a felhasználókat fogja célozni, akiknek beállításaiban DNS-szolgáltatók szerepelnek, akik lehetővé teszik a DoH alternatívaként való használatát a hagyományos DNS-el szemben. Azok, akik a helyi internetszolgáltató által biztosított DNS-szervereket használják, továbbra is a rendszeres feloldón keresztül küldik a DNS-kéréseket. Vagyis a Google intézkedése csupán annyira korlátozódik, hogy a jelenlegi szolgáltatók egyenértékű szolgáltatására cserélje a DNS-t a biztonságos működési módra való áttéréshez. A Firefox esetében is tervezik a DoH kísérleti engedélyezését, de a Google-lal ellentétben a Mozilla alapértelmezett DNS-szerverként a CloudFlare-t használja. Ez a megközelítés már kritikákat váltott ki az OpenBSD projekt részéről.
Emlékeztetünk arra, hogy a DoH hasznos lehet a DNS-szolgáltatók által kérdésekkel kapcsolatos adatok kiszivárgásának megakadályozásában, a MITM támadásokkal és a DNS-forgalom manipulálásával szembeni védekezéshez (például nyilvános Wi-Fi csatlakozáskor), a DNS szintű blokkolásokkal szembeni ellenállásra (a DoH nem tudja helyettesíteni a VPN-t a DPI szinten bevezetett blokkolások megkerülésében) vagy a DNS-szerverek közvetlen elérésének lehetetlensége esetén történő működés biztosítására (például proxy használatakor).
Ha a megszokott környezetben a DNS-kérések közvetlenül a rendszer konfigurációjában megadott DNS-szerverekre kerülnek, akkor a DoH esetében a gazdagép IP-címének meghatározására vonatkozó kérés HTTPS forgalomba van burkolva, és egy HTTP-szerverre kerül, ahol a feloldó a Web API-n keresztül kezeli a kéréseket. A meglévő DNSSEC szabvány csak a kliens és a szerver hitelesítésére használ titkosítást, azonban nem védi a forgalmat a lehallgatástól és nem garantálja a kérések titkosságát. Jelenleg körülbelül támogatja a DoH-t.
Forrás: opennet.ru
