A Firefox fejlesztői a DNS over HTTPS (DoH) támogatásának tesztelésének befejezéséről és arról, hogy a hónap végén az Egyesült Államokban a technológiát alapértelmezetté kívánják tenni a felhasználók számára. A bekapcsolás fokozatosan történik, először csak a felhasználók néhány százalékánál, majd problémamentesség esetén fokozatosan 100%-ra növelik. Az Egyesült Államok után megfontolják a DoH más országokban való aktiválását is.
Az év során végzett tesztek bizonyították a szolgáltatás megbízhatóságát és jó teljesítményét, valamint lehetőséget adtak arra, hogy azonosítsák azokat a helyzeteket, amikor a DoH problémákhoz vezethet, és kidolgozzák a megoldásokat ezek elkerülésére (például elemezve a tartalomelosztó hálózatok forgalomoptimalizálása, a szülői felügyelet és a vállalati belső DNS-zónák).
A DNS-forgalom titkosításának fontosságát alapvető felhasználói védelmi tényezőként értékelik, ezért a DoH-t alapértelmezettként kívánják aktiválni, de az első szakaszban csak az Egyesült Államokban élő felhasználók számára. A DoH aktiválása után a felhasználó figyelmeztetést kap, amely lehetővé teszi, hogy kérésére lemondjon a központosított DoH DNS-szerverekhez való csatlakozásról, és visszatérjen a hagyományos, titkosítatlan DNS-kérelmek küldésére a szolgáltató DNS-szerveréhez (ellentétben a DoH-ban használt elosztott DNS-rezolvert-infrastruktúrával, amelyet egy adott DoH-szolgáltatáshoz való kötődés jellemez, ami egységes hibapontként is értelmezhető).
A DoH aktiválása esetén a szülői felügyelet és a vállalati hálózatok működése megsérülhet, amelyek kizárólag a belső hálózat számára elérhető DNS-névstruktúrát használnak intranet-címek és vállalati hosztok átalakítására. Az ilyen rendszerek problémáinak megoldására egy ellenőrzési rendszert vezettek be, amely automatikusan lekapcsolja a DoH-t. Az ellenőrzések minden böngészőindításkor vagy egy alhálózat megváltoztatásának észlelésekor végrehajtásra kerülnek.
A rendszer alapértelmezett feloldónak a használatára való automatikus visszatérés is rendelkezésre áll a DoH-n (Domain over HTTPS) történő feloldás során fellépő hibák esetén (például a DoH szolgáltatónál jelentkező hálózati elérhetőségi problémák vagy az infrastruktúrájában fellépő hibák esetén). Az ilyen ellenőrzések értelme kétséges, mivel semmi sem akadályozza meg a támadókat, akik irányítják a feloldót vagy képesek beavatkozni a forgalomba, hogy szimulálják ezt a viselkedést a DNS-forgalom titkosításának letiltására. A probléma a "DoH always" (alapértelmezés szerint le van tiltva) beállításának hozzáadásával van megoldva, amelynél az automatikus letiltás nem alkalmazandó, ami ésszerű kompromisszumnak tekinthető.
A vállalati feloldók működésének meghatározására a nem szokványos felső szintű domainek (TLD) ellenőrzése és az intranet-címek visszaadása történik a rendszerszintű feloldó által. A szülői kontroll aktiválásának megállapításához megpróbálnak feloldani egy példához hasonló nevet, mint az exampleadultsite.com, és ha az eredmény nem egyezik a tényleges IP-címmel, akkor az DNS szinten aktívnak tekintik a felnőtt tartalom blokkolását. További jelekként az IP-címek Google és YouTube vonatkozásában az ő helyettesítésük ellenőrzésére is történik, mint pl. restrict.youtube.com, forcesafesearch.google.com és restrictmoderate.youtube.com. Továbbá a Mozilla bevezetni egy egységes ellenőrző hosztot , amelyet az internetszolgáltatók és a szülői ellenőrzési szolgáltatások a DoH letiltására használnak (ha a hoszt nem található, a Firefox letiltja a DoH-t).
Egyetlen DoH-szolgáltató használata potenciálisan problémákat okozhat a forgalom optimalizálásában a tartalomellátó hálózatokban, amelyek DNS-alapú terheléselosztást végeznek (a CDN-hálózat DNS-szervere válaszát a feloldó címére figyelembe véve adja meg, és a tartalom eléréséhez legközelebbi hoszt címét adja). A DNS-lekérdezés elküldése a felhasználóhoz legközelebbi feloldóról ilyen CDN esetében a felhasználóhoz legközelebbi hoszt címének visszaadásához vezet, de a központosított feloldóról elküldött DNS-lekérdezés a DNS-over-HTTPS szerverhez legközelebbi hoszt címét adja meg. A gyakorlati tesztelés azt mutatta, hogy a DNS-over-HTTP használata a CDN-ek mellett gyakorlatilag nem okozott késleltetéseket a tartalom átvitele előtt (gyors kapcsolatok esetén a késleltetések nem haladták meg a 10 milliszekundumot, míg lassú kapcsolatoknál a működés felgyorsulását is észlelték). A CDN-nek a kliens tartózkodási helyéről való információk átadásához az EDNS Client Subnet kiterjesztés alkalmazása is figyelembe volt véve.
Emlékeztetünk, hogy a DoH hasznos lehet az információk kikerülésének megakadályozására a DNS-szerverek által, a MITM-támadások és a DNS-trafik manipulálásának ellenállására, a DNS-szintű blokkok ellenállására, vagy a DNS-szerverek közvetlen elérésének lehetetlensége esetén (például proxy használata mellett). Normális esetben a DNS-lekérdezések közvetlenül az operációs rendszer konfigurációjában megadott DNS-szerverekhez kerülnek elküldésre, azonban DoH esetén a hoszt IP-címének meghatározására irányuló kérés az HTTPS forgalomba van beágyazva, és egy HTTP-szerverhez kerül elküldésre, ahol a feloldó Web API-n keresztül dolgozza fel a lekérdezéseket. A létező DNSSEC szabvány csak az ügyfél és a szerver azonosítására használ titkosítást, de nem védi meg a forgalmat a lehallgatástól, és nem garantálja a lekérdezések titkosságát.
A DoH engedélyezéséhez az about:config alatt módosítani kell a network.trr.mode változó értékét, amely a Firefox 60-tól támogatott. Az 0 érték teljesen letiltja a DoH-t; az 1 érték a DNS-t vagy a DoH-t használja, attól függően, hogy mi a gyorsabb; a 2 érték alapértelmezés szerint a DoH-t használja, míg a DNS tartalék megoldásként; a 3 érték csak a DoH-t használja; a 4 érték párhuzamos üzemmód, amelyben a DoH és a DNS egyaránt be van kapcsolva. Alapértelmezés szerint a CloudFlare DNS-szerver használatos, de a network.trr.uri paraméter segítségével módosítható, például beállítható "https://dns.google.com/experimental" vagy "https://9.9.9.9/dns-query".
Forrás: opennet.ru
