Gli sviluppatori di Firefox hanno annunciato un ampliamento dell'uso della modalità DNS sopra HTTPS (DoH, DNS over HTTPS), che sarà attivata per impostazione predefinita per gli utenti in Canada (in precedenza DoH era attivato per impostazione predefinita solo per gli Stati Uniti). L'attivazione di DoH per gli utenti in Canada sarà realizzata in più fasi: il 20 luglio DoH sarà attivato per l'1% degli utenti in Canada e, se non si verificheranno problemi imprevisti, la copertura sarà portata al 100% entro la fine di settembre.
La transizione degli utenti canadesi di Firefox a DoH avviene con il supporto dell'organizzazione CIRA (Canadian Internet Registration Authority), che regola lo sviluppo di Internet in Canada e si occupa del dominio di primo livello «ca». L'organizzazione CIRA ha anche aderito al programma TRR (Trusted Recursive Resolver) ed è compresa tra i fornitori di DNS-over-HTTPS disponibili in Firefox.
Dopo l'attivazione di DoH, sul sistema dell'utente verrà visualizzato un avviso che consente, se desiderato, di rifiutare il passaggio a DoH e continuare a utilizzare il tradizionale schema di invio delle richieste non crittografate al server DNS del provider. È possibile cambiare fornitore o disattivare DoH nelle impostazioni della connessione di rete. Oltre ai server DoH di CIRA, è possibile scegliere i servizi di Cloudflare e NextDNS.
I fornitori di DoH proposti in Firefox sono selezionati in base ai requisiti per i resolver DNS affidabili, secondo i quali l'operatore DNS può utilizzare i dati ricevuti per la risoluzione solo per garantire il funzionamento del servizio, non deve conservare i log per oltre 24 ore, non può trasferire dati a terzi e deve divulgare informazioni sui metodi di trattamento dei dati. Il servizio deve anche impegnarsi a non censurare, non filtrare, non interferire e non bloccare il traffico DNS, tranne nei casi previsti dalla legge.
Ricordiamo che DoH può risultare utile per escludere perdite di informazioni relative ai nomi host richiesti attraverso i server DNS dei provider, per combattere gli attacchi MITM e la manipolazione del traffico DNS (ad esempio, durante la connessione a Wi-Fi pubblici), per contrastare le restrizioni a livello DNS (DoH non può sostituire VPN nell'ambito dell'aggiramento dei blocchi implementati a livello DPI) o per organizzare il lavoro nel caso in cui non sia possibile un accesso diretto ai server DNS (ad esempio, quando si utilizza un proxy). In una situazione normale, le query DNS vengono inviate direttamente a determinati server DNS configurati nel sistema, mentre nel caso di DoH la richiesta di risoluzione Indirizzi IP del host è incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver elabora le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per autenticare il cliente e il server, ma non protegge il traffico dall'intercettazione e non garantisce la riservatezza delle richieste.
Fonte: opennet.ru
