Associazioni commerciali , e , che difendono gli interessi dei fornitori di servizi Internet, al Congresso degli Stati Uniti con la richiesta di prestare attenzione al problema dell'implementazione del «DNS over HTTPS» (DoH, DNS su HTTPS) e di richiedere a Google informazioni dettagliate sui piani attuali e futuri per l'inclusione del DoH nei propri prodotti, nonché di ottenere un impegno a non includere per impostazione predefinita l'elaborazione centralizzata delle richieste DNS in Chrome e Android senza un previo e accurato dibattito con altri rappresentanti dell'ecosistema e considerando i potenziali effetti negativi.
Comprendendo il beneficio generale dell'applicazione della crittografia per il traffico DNS, le associazioni ritengono inaccettabile la concentrazione del controllo sulla risoluzione dei nomi in un'unica entità e l'associazione di questo meccanismo per impostazione predefinita a servizi DNS centralizzati. In particolare, si afferma che Google sta andando verso l'inserimento della pratica di DoH per impostazione predefinita in Android e Chrome, il che, se collegato ai server di Google, comprometterebbe la natura decentralizzata dell'infrastruttura DNS e creerebbe un unico punto di guasto.
Poiché Chrome e Android dominano il mercato, nell'eventualità di imporre i propri server DoH, Google ottiene la possibilità di controllare una grande parte del flusso delle richieste DNS degli utenti. Oltre a ridurre l'affidabilità dell'infrastruttura, una mossa del genere darebbe anche a Google vantaggi ingiustificati rispetto ai concorrenti, poiché l'azienda otterrebbe ulteriori informazioni sui comportamenti degli utenti, utili per monitorare l'attività degli utenti e personalizzare la pubblicità.
L'applicazione di DoH potrebbe anche interferire con il funzionamento in settori come i sistemi di controllo parentale, l'accesso a spazi di nomi interni nei sistemi aziendali, la selezione dei percorsi nei sistemi di ottimizzazione della consegna dei contenuti e l'esecuzione di ordini giudiziari relativi al contrasto della diffusione di contenuti illegali e all'exploitation delle minorenni. L'alterazione dei DNS è anche frequentemente utilizzata per reindirizzare gli utenti a una pagina che informa sulla scadenza dei fondi per l'abbonato o per accedere a una rete wireless.
Azienda Google , che le preoccupazioni sono infondate, poiché non intende attivare DoH per impostazione predefinita in Chrome e Android. In Chrome 78, l'attivazione sperimentale predefinita di DoH includerà solo gli utenti per i quali sono impostati provider DNS che offrono la possibilità di utilizzare DoH come alternativa ai tradizionali DNS. Per coloro che utilizzano i server DNS forniti dal loro provider Internet locale, le richieste DNS continueranno a essere inviate attraverso il resolver di sistema. In altre parole, le azioni di Google si limitano a sostituire il servizio attuale del provider con un servizio equivalente per passare a un metodo sicuro di gestione dei DNS. L'attivazione sperimentale di DoH è prevista anche in Firefox, ma a differenza di Google, la Mozilla per default il server DNS di CloudFlare. Questo approccio ha già suscitato da parte del progetto OpenBSD.
Ricordiamo che DoH può rivelarsi utile per escludere perdite di informazioni sui nomi host richiesti tramite i server DNS dei provider, per combattere attacchi MITM e la sostituzione del traffico DNS (ad esempio, quando si è connessi a Wi-Fi pubblici), per contrastare le restrizioni a livello DNS (DoH non può sostituire una VPN per eludere i blocchi implementati a livello DPI) o per organizzare il funzionamento in caso di impossibilità di contattare direttamente i server DNS (ad esempio, quando si lavora tramite un proxy).
Se in una situazione normale le richieste DNS vengono inviate direttamente ai server DNS specificati nella configurazione di sistema, nel caso di DoH la richiesta per determinare l'indirizzo IP di un host viene incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver gestisce le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per l'autenticazione del client e del server, ma non protegge il traffico dall'intercettazione e non garantisce la riservatezza delle richieste. Attualmente circa supportano DoH.
Fonte: opennet.ru
