Megbeszéljük a DNS over HTTPS működésével kapcsolatos véleményeket, amelyek mostanában az internetes szolgáltatók és a böngészők fejlesztői között "alma a viták között" váltak.
/ Unsplash /
A nézeteltérések lényege
Mostanában és (beleértve a Habr-t) gyakran írnak a DNS over HTTPS (DoH) protokollról. Ez titkosítja a DNS-kiszolgálóhoz intézett lekérdezéseket és válaszokat. Ez a megközelítés lehetővé teszi a felhasználó által meglátogatott hostnevek elrejtését. A publikációkból arra lehet következtetni, hogy az új protokollt (az IETF az IT közösséget két táborra osztotta.
A fele úgy véli, hogy az új protokoll növeli az internet biztonságát, és integrálja azt alkalmazásaiba és szolgáltatásaiba. A másik fele viszont meggyőződésével azt állítja, hogy a technológia csak bonyolítja a rendszergadminisztrátorok munkáját. Ezután megbeszéljük mindkét fél érveit.
Hogyan működik a DoH
Mielőtt átérnénk arra a beszélgetésre, hogy az internetes szolgáltatók és más piaci szereplők miért állnak ki vagy ellen a DNS over HTTPS mellett, röviden áttekintjük annak működési elvét.
A DoH esetében az IP-cím meghatározására vonatkozó lekérdezés titkosítva kerül a HTTPS-forgalomba. Ezután egy HTTP-szerverhez kerül, ahol az API segítségével dolgozzák fel. Íme egy példa a RFC 8484-ből ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
Így a DNS-forgalom elrejtőzik a HTTPS-forgalomban. Az ügyfél és a szerver az 443-as szabványos porton kommunikál. Ennek következményeként a domain név rendszerhez intézett lekérdezések anonimak maradnak.
Miért nem népszerű
A DNS over HTTPS ellenzői , hogy az új protokoll csökkenti a kapcsolatok biztonságát. Paul Vixie szerint (a DNS fejlesztői csapatának tagja), a rendszergazdák számára nehezebb lesz blokkolni a potenciálisan káros webhelyeket. A hétköznapi felhasználók pedig elveszítik a lehetőséget, hogy szülői felügyeletet állítsanak be a böngészőkben. Paul véleményét osztják az Egyesült Királyság internetes szolgáltatói. Az ország törvénye
kötelezi GCHQIWFA blogunkban a Habr-on:
В нашем блоге на Хабре:
A szakértők megjegyzik, hogy a DNS over HTTPS kibervédelmi fenyegetéssé válhat. Július elején a Netlab kiberbiztonsági szakemberei az első vírus, amely új protokollt használt DDoS-támadások végrehajtására — . A rosszindulatú program DoH-ot használt TXT rekordok lekérdezésére és a vezérlő szerverek URL-címeinek kinyerésére.
A titkosított DoH-lekérdezéseket nem ismerte fel az antivírus szoftver. A kiberbiztonsági szakemberek , hogy a Godlua után újabb rosszindulatú kódok érkeznek, amelyek rejtve maradhatnak a DNS passzív megfigyelés előtt.
De nem mindenki ellenzi
A DNS over HTTPS védelmében blogjában Geoff Houston, az APNIC mérnöke. Szerinte az új protokoll segíthet a DNS hijacking támadások ellen, amelyek az utóbbi időben egyre elterjedtebbekké válnak. Ez a tény a FireEye kiberbiztonsági cég januári jelentése is. A protokollt nagy IT cégek is támogatták.
Már tavaly év elején tesztelte a Google a DoH-t. És egy hónapja a cég általánosan elérhetővé tette a DoH-szolgáltatást. A Google , hogy ez növeli a felhasználói adatok biztonságát az interneten és védelmet nyújt az MITM-támadások ellen.
A Mozilla, mint a böngészők másik fejlesztője — a DNS over HTTPS-t tavaly nyár óta alkalmazza. A cég aktívan népszerűsíti az új technológiát az IT szektorban. Ennek következtében az Internet Services Providers Association (ISPA) a Mozillát az 'Internet Gazember' díjra. A cég képviselői a válaszukban , hogy csalódottak a szolgáltatók internet-infrastruktúrájának korszerűsítésére tett hajlandóság hiánya miatt.
/ Unsplash /
A Mozilla támogatása és néhány internet-szolgáltató véleménye szerint is. Különösen a British Telecom vélekedett, hogy az új protokoll nem befolyásolja a tartalom szűrését és növeli a brit felhasználók biztonságát. A közvélemény nyomására az ISPA kénytelen volt visszavonni A DNS over HTTPS bevezetése mellett álltak ki a felhőszolgáltatók is, például
. Ők már kínálnak DNS-szolgáltatásokat az új protokollra alapozva. A DoH-t támogató böngészők és kliensek teljes listája megtalálható a Bármilyen közelgő befejezéséről a két tábor közötti ellentétnek még nem beszélhetünk. Az IT szakértők előrejelzik, hogy ha a DNS over HTTPS-nek valóban el kell foglalnia a tömeges internet-technológiai stack részét, ahhoz időre lesz szükség. .
В любом случае говорить об окончании противостояния двух лагерей пока не приходится. ИТ-специалисты прогнозируют, что если DNS over HTTPS все же суждено стать частью массового стека интернет-технологий, на это уйдет .
Miről írunk még a vállalati blogunkban:
Forrás: habr.com
