A Firefox fejlesztői a DNS over HTTPS (DoH) alapértelmezett aktiválásáról az Egyesült Államokból érkező felhasználók számára. A DNS-forgalom titkosítása alapvető fontosságú a felhasználók védelme szempontjából. A mai naptól kezdve minden új telepítés, amelyet az Egyesült Államokból végeztek, alapértelmezés szerint aktiválja a DoH-t. A már meglévő amerikai felhasználókat a következő hetekben tervezik átállítani a DoH-ra. Az Európai Unióban és más országokban egyelőre nem tervezik a DoH alapértelmezett aktiválását. .
A DoH aktiválása után a felhasználó egy figyelmeztetést kap, amely lehetővé teszi, hogy igénye szerint lemondjon a központosított DoH DNS-szerverek eléréséről, és visszatérjen a hagyományos, titkosítatlan DNS-kérdések küldéséhez a szolgáltató DNS-szerverének. A DoH megoldásában egy adott DoH-szolgáltatóhoz van kötve, amely egyetlen hibapontként tekinthető. Jelenleg két DNS-szolgáltató – a CloudFlare (alapértelmezés szerint) és .
Módosítani a szolgáltatót vagy letiltani a DoH-t a hálózati kapcsolat beállításaiban. Például megadható alternatív DoH-szerver, mint a „https://dns.google/dns-query” a Google szervereihez, a „https://dns.quad9.net/dns-query” – a Quad9-hez és a „https://doh.opendns.com/dns-query” – az OpenDNS-hez. Az about:config-ben a network.trr.mode beállítás is megtalálható, amely lehetővé teszi a DoH működési módjának megváltoztatását: a 0 érték teljesen letiltja a DoH-t; az 1 a DNS-t vagy a DoH-t használja, attól függően, hogy mi a gyorsabb; a 2 alapértelmezés szerint a DoH-t használja, a DNS-t pedig tartaléknak; a 3 kizárólag a DoH-t használja; a 4 pedig tükör üzemmód, amelyben a DoH és a DNS párhuzamosan működik.
Emlékeztetünk, hogy a DoH hasznos lehet a DNS-szerverekkel való kapcsolatfelvétel során felmerülő névszerverekkel kapcsolatos adatszivárgások megszüntetésére, a MITM-támadások ellen, és a DNS-forgalom manipulálásának megakadályozására (például nyilvános Wi-Fi használata esetén), vagy a DNS-szintű blokkolásokkal szembeni védekezésre (a DoH nem helyettesítheti a VPN-t a DPI szintjén történő blokkolások megkerülésében), valamint olyan helyzetek kezelésére, amikor közvetlen kapcsolat a DNS-szerverekkel nem lehetséges (például proxy használata esetén). Míg normál körülmények között a DNS-kérdések közvetlenül a rendszerkonfigurációban megadott DNS-szerverekhez kerülnek elküldésre, DoH esetén a névfeloldásra vonatkozó IP-cím keresése az HTTPS forgalomban van beágyazva, és a HTTP-szerverre továbbítódik, ahol a resolver a Web API-n keresztül kezeli a kéréseket. A létező DNSSEC szabvány titkosítást csak az ügyfél és a szerver hitelesítésére használ, de nem védi meg a forgalmat a lehallgatástól, és nem garantálja a kérések titkosságát.
A Firefoxban ajánlott DoH-szolgáltatók kiválasztására vonatkozó alapján kerülnek kiválasztásra, amelyek szerint a DNS-üzemeltető csak a szolgáltatás működéséhez szükséges adatokat használhatja fel, nem tárolhat naplókat 24 óránál tovább, nem adhatja át az adatokat harmadik feleknek, és kötelezően tájékoztatnia kell az adatkezelési módszerekről. A szolgáltatásnak szintén kötelezettséget kell vállalnia arra, hogy nem cenzúrázza, nem szűri, nem avatkozik közbe, és nem blokkolja a DNS-forgalmat, kivéve a törvény által előírt helyzeteket.
A DoH alkalmazását óvatosan kell végezni. Például Oroszországban a 104.16.248.249 és 104.16.249.249 IP-címeket, amelyek a Firefoxban alapértelmezés szerint javasolt DoH-szerverhez, a mozilla.cloudflare-dns.com-hoz kapcsolódnak, be. a Szterep in. bíróság 2013.06.10-i határozata alapján.
A DoH alkalmazása problémákhoz vezethet olyan területeken, mint a szülői ellenőrző rendszerek, a vállalati rendszerek belső névrendszereibe való hozzáférés, a tartalomellátó rendszerek útvonalválasztása és a jogerős határozatok végrehajtása az illegális tartalmak terjesztésének és a kiskorúak kihasználásának megakadályozása érdekében. Az ilyen problémák megkerülésére egy olyan rendszer valósult meg és lett tesztelve, amely automatikusan letiltja a DoH-t bizonyos körülmények között.
A vállalati feloldókat nem szokványos legfelsőbb szintű domainek (TLD) ellenőrzésével és az intranetes címek visszaadásával az alapértelmezett feloldó által határozzuk meg. A szülői ellenőrzés engedélyezésének meghatározásához megkíséreljük feloldani a példáulexampleadultsite.com nevét, és ha az eredmény nem egyezik meg a valós IP-vel, akkor az azt jelenti, hogy a DNS szinten aktív a felnőtt tartalom blokkolása. A Google és a YouTube IP címek helyettesítésének ellenőrzése is jeleként szolgál, például restrict.youtube.com, forcesafesearch.google.com és restrictmoderate.youtube.com címekre. Ezek az ellenőrzések lehetővé teszik a támadók számára, akik irányítják a feloldó működését vagy be tudnak avatkozni a forgalomba, hogy hasonló viselkedést szimuláljanak a DNS-forgalom titkosításának leállításához.
Egyetlen DoH-szolgáltató használata potenciálisan problémákat okozhat a forgalom optimalizálásában a tartalomellátó hálózatokban, amelyek DNS-alapú terheléselosztást végeznek (a CDN-hálózat DNS-szervere válaszát a feloldó címére figyelembe véve adja meg, és a tartalom eléréséhez legközelebbi hoszt címét adja). A DNS-lekérdezés elküldése a felhasználóhoz legközelebbi feloldóról ilyen CDN esetében a felhasználóhoz legközelebbi hoszt címének visszaadásához vezet, de a központosított feloldóról elküldött DNS-lekérdezés a DNS-over-HTTPS szerverhez legközelebbi hoszt címét adja meg. A gyakorlati tesztelés azt mutatta, hogy a DNS-over-HTTP használata a CDN-ek mellett gyakorlatilag nem okozott késleltetéseket a tartalom átvitele előtt (gyors kapcsolatok esetén a késleltetések nem haladták meg a 10 milliszekundumot, míg lassú kapcsolatoknál a működés felgyorsulását is észlelték). A CDN-nek a kliens tartózkodási helyéről való információk átadásához az EDNS Client Subnet kiterjesztés alkalmazása is figyelembe volt véve.
Forrás: opennet.ru
