A Mozilla vállalat DNS-szolgáltatókkal való megállapodás HTTPS felett (DoH, DNS over HTTPS) a Firefoxban. A korábban javasolt CloudFlare DNS-szerverek mellett („https://1.1.1.1/dns-query”) és (), a beállításokba a Comcast szolgáltatás is bekerül (https://doh.xfinity.com/dns-query). A DoH aktiválása és a választás beállításait a hálózati kapcsolaton belül.
Emlékeztetünk, hogy a Firefox 77-ben bevezetésre került egy tesztellenőrzés a DNS over HTTPS-en, amely 10 kísérleti lekérdezést küldött mindegyik kliensről és automatikusan választotta ki a DoH szolgáltatót. Ezt a tesztet a kiadásban , mivel DDoS-támadássá vált a NextDNS szolgáltatás ellen, amely nem tudta kezelni a terhelést.
A Firefoxban ajánlott DoH szolgáltatók a alapján kerülnek kiválasztásra, amelyek szerint a DNS-üzemeltető csak a szolgáltatás működéséhez szükséges adatokat használhatja fel, nem tárolhat naplókat 24 óránál tovább, nem adhatja át az adatokat harmadik feleknek, és kötelezően tájékoztatnia kell az adatkezelési módszerekről. A szolgáltatásnak szintén kötelezettséget kell vállalnia arra, hogy nem cenzúrázza, nem szűri, nem avatkozik közbe, és nem blokkolja a DNS-forgalmat, kivéve a törvény által előírt helyzeteket.
A DNS-over-HTTPS-hez kapcsolódó események közül megemlíthető még az Apple részéről, hogy támogatja a DNS-over-HTTPS és a DNS-over-TLS implementálását a jövőbeli iOS 14 és macOS 11 kiadásokban, valamint a WebExtension formátumú kiegészítők támogatása a Safari böngészőben.
Emlékeztetünk, hogy a DoH hasznos lehet a DNS-szerverekkel való kapcsolatfelvétel során felmerülő névszerverekkel kapcsolatos adatszivárgások megszüntetésére, a MITM-támadások ellen, és a DNS-forgalom manipulálásának megakadályozására (például nyilvános Wi-Fi használata esetén), vagy a DNS-szintű blokkolásokkal szembeni védekezésre (a DoH nem helyettesítheti a VPN-t a DPI szintjén történő blokkolások megkerülésében), valamint olyan helyzetek kezelésére, amikor közvetlen kapcsolat a DNS-szerverekkel nem lehetséges (például proxy használata esetén). Míg normál körülmények között a DNS-kérdések közvetlenül a rendszerkonfigurációban megadott DNS-szerverekhez kerülnek elküldésre, DoH esetén a névfeloldásra vonatkozó IP-cím keresése az HTTPS forgalomban van beágyazva, és a HTTP-szerverre továbbítódik, ahol a resolver a Web API-n keresztül kezeli a kéréseket. A létező DNSSEC szabvány titkosítást csak az ügyfél és a szerver hitelesítésére használ, de nem védi meg a forgalmat a lehallgatástól, és nem garantálja a kérések titkosságát.
Forrás: opennet.ru
