Mozilla fejlesztői új kutatás indításáról a DNS HTTPS-en keresztüli (DoH, DNS over HTTPS) implementációjának előkészítése érdekében. Az Egyesült Államokbeli Firefox felhasználók egy csoportján végzett kísérlet során statisztikákat gyűjtenek a szülői felügyelet és a vállalati névszerverek használatáról. A kísérletből való kilépés a "about:studies" oldalon lehetséges (a kutatás az "DNS-over-HTTPS Detection Logic" néven szerepel a listán).
A kutatáshoz anonimizált adatokat gyűjtenek, amelyek csak számlálókat tartalmaznak, konkrét címek és domainek megadása nélkül. A szülői felügyeleti rendszerek azonosításához egy lekérdezést küldenek az exampleadultsite.com név meghatározására, és ha az nem egyezik a tényleges IP címmel, akkor azt jelenti, hogy a felnőtt tartalom blokkolva van a DNS szinten. Emellett értékelni fogják IP address a Google és a YouTube által visszaadott válaszokat, hogy ellenőrizzék azokat a restrict.youtube.com, forcesafesearch.google.com és restrictmoderate.youtube.com helyettesítései szempontjából.
A belső vállalati névszerverek használatának azonosításához a webhelyek megnyitásakor meghatározott hosztokat ellenőrizni fogják, hogy használnak-e atipikus legfelső szintű domaineket (TLD) és intranet címeket adnak-e vissza ezekhez. A kísérlet indítékát aggodalom képezte, hogy a DNS-over-HTTPS alapértelmezett engedélyezése megsértheti a DNS-en keresztül működő szülői felügyeleti rendszerek működését, valamint problémákat okozhat a vállalati hálózatokat használó felhasználók számára, akik olyan DNS szervereket használnak, amelyek belső domainekről adnak információt, amelyek nem láthatók a külső hálózaton.
Emlékeztetünk, hogy a DoH hasznos lehet az információk kikerülésének megakadályozására a DNS-szerverek által, a MITM-támadások és a DNS-trafik manipulálásának ellenállására, a DNS-szintű blokkok ellenállására, vagy a DNS-szerverek közvetlen elérésének lehetetlensége esetén (például proxy használata mellett). Normális esetben a DNS-lekérdezések közvetlenül az operációs rendszer konfigurációjában megadott DNS-szerverekhez kerülnek elküldésre, azonban DoH esetén a hoszt IP-címének meghatározására irányuló kérés az HTTPS forgalomba van beágyazva, és egy HTTP-szerverhez kerül elküldésre, ahol a feloldó Web API-n keresztül dolgozza fel a lekérdezéseket. A létező DNSSEC szabvány csak az ügyfél és a szerver azonosítására használ titkosítást, de nem védi meg a forgalmat a lehallgatástól, és nem garantálja a lekérdezések titkosságát.
A DoH engedélyezéséhez az about:config alatt módosítani kell a network.trr.mode változó értékét, amely a Firefox 60-tól támogatott. Az 0 érték teljesen letiltja a DoH-t; az 1 érték a DNS-t vagy a DoH-t használja, attól függően, hogy mi a gyorsabb; a 2 érték alapértelmezés szerint a DoH-t használja, míg a DNS tartalék megoldásként; a 3 érték csak a DoH-t használja; a 4 érték párhuzamos üzemmód, amelyben a DoH és a DNS egyaránt be van kapcsolva. Alapértelmezés szerint a CloudFlare DNS-szerver használatos, de a network.trr.uri paraméter segítségével módosítható, például beállítható "https://dns.google.com/experimental" vagy "https://9.9.9.9/dns-query".
Forrás: opennet.ru
