Sviluppatori di Firefox l'inclusione predefinita della modalità DNS su HTTPS (DoH, DNS over HTTPS) per gli utenti negli Stati Uniti. La crittografia del traffico DNS è considerata un fattore fondamentale per la protezione degli utenti. A partire da oggi, in tutte le nuove installazioni effettuate da utenti negli Stati Uniti, DoH è attivato per impostazione predefinita. Gli utenti esistenti negli Stati Uniti saranno trasferiti su DoH nel corso delle prossime settimane. Nella Unione Europea e in altri paesi, l'attivazione di DoH per impostazione predefinita non è ancora .
Dopo l'attivazione di DoH, all'utente viene mostrato un avviso che consente, se desiderato, di rinunciare all'accesso ai server DNS DoH centralizzati e tornare al tradizionale schema di invio di richieste non crittografate al server DNS del provider. In DoH viene utilizzato un legame a un determinato servizio DoH, che può essere considerato un singolo punto di guasto, invece di un'infrastruttura distribuita di resolver DNS. Attualmente, sono offerti due fornitori DNS — CloudFlare (per impostazione predefinita) e .
Cambiare fornitore o disattivare DoH nelle impostazioni della connessione di rete. Ad esempio, è possibile specificare il server DoH alternativo «https://dns.google/dns-query» per accedere ai server Google, «https://dns.quad9.net/dns-query» — Quad9 e «https://doh.opendns.com/dns-query» — OpenDNS. In about:config è anche prevista l'impostazione di network.trr.mode, attraverso la quale è possibile modificare la modalità di funzionamento di DoH: il valore 0 disattiva completamente DoH; 1 — utilizza DNS o DoH, a seconda di ciò che è più veloce; 2 — utilizza DoH per impostazione predefinita e DNS come opzione di riserva; 3 — utilizza solo DoH; 4 — modalità mirror in cui DoH e DNS sono utilizzati parallelamente.
Ricordiamo che DoH può rivelarsi utile per escludere perdite di dati riguardanti i nomi host richiesti tramite i server DNS dei provider, combattere attacchi MITM e la sostituzione del traffico DNS (ad esempio, quando si è connessi a Wi-Fi pubblici), contrastare i blocchi a livello DNS (DoH non può sostituire una VPN per eludere i blocchi implementati a livello DPI) oppure per organizzare l’operatività in caso di impossibilità di accesso diretto ai server DNS (ad esempio, quando si lavora tramite proxy). In una situazione normale, le richieste DNS vengono inviate direttamente ai server DNS specificati nella configurazione del sistema, mentre nel caso di DoH, la richiesta per determinare l'indirizzo IP di un host viene incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver elabora le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per autenticare il client e il server, ma non protegge il traffico dall'intercettazione né garantisce la riservatezza delle richieste.
Per la selezione dei fornitori DoH proposti in Firefox sono state formulate per i resolver DNS affidabili, secondo cui l'operatore DNS può utilizzare i dati ottenuti per la risoluzione solo per garantire il funzionamento del servizio, non deve conservare i log per più di 24 ore, non può trasmettere dati a terzi e deve rivelare informazioni sui metodi di elaborazione dei dati. Il servizio deve anche impegnarsi a non censurare, non filtrare, non interferire e non bloccare il traffico DNS, eccetto nei casi previsti dalla legge.
L'uso di DoH deve essere effettuato con cautela. Ad esempio, in RF, gli indirizzi IP 104.16.248.249 e 104.16.249.249, associati al server DoH predefinito di Firefox mozilla.cloudflare-dns.com, in su richiesta del tribunale di Stavropol del 10.06.2013.
L'uso di DoH può anche comportare problemi in aree come i sistemi di parental control, l'accesso agli spazi dei nomi interni nei sistemi aziendali, la selezione dei percorsi nei sistemi di ottimizzazione della distribuzione dei contenuti e l'esecuzione di ordini giudiziari nel campo della lotta contro la diffusione di contenuti illeciti e lo sfruttamento dei minori. Per superare tali problemi, è stato implementato e testato un sistema di controlli che disattiva automaticamente DoH in determinate condizioni.
Per identificare i resolver aziendali vengono effettuati controlli sui domini di primo livello (TLD) non comuni e il resolver di sistema restituisce indirizzi intranet. Per determinare l'attivazione del parental control viene tentata la risoluzione del nome exampleadultsite.com e se il risultato non corrisponde all'indirizzo IP effettivo, si considera che sia attiva la blocca del contenuto per adulti a livello di DNS. Vengono anche verificati gli indirizzi IP di Google e YouTube per rilevare eventuali sostituzioni con restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com. Questi controlli consentono agli aggressori, che controllano il funzionamento del resolver o possono interferire nel traffico, di simulare tale comportamento per disattivare la crittografia del traffico DNS.
L'utilizzo di un servizio DoH unico può anche potenzialmente portare a problemi di ottimizzazione del traffico nelle reti di distribuzione dei contenuti, che eseguono il bilanciamento del traffico utilizzando DNS (il server DNS della rete CDN elabora la risposta tenendo conto dell'indirizzo del resolver e fornisce l'host più vicino per il recupero dei contenuti). L'invio di una richiesta DNS dal resolver più vicino all'utente in tali CDN porta al ritorno dell'indirizzo dell'host più vicino all'utente, ma l'invio di una richiesta DNS da un resolver centralizzato fornirà l'indirizzo dell'host più vicino al server DNS-over-HTTPS. I test pratici hanno mostrato che l'applicazione del DNS-over-HTTP nell'uso delle CDN non ha praticamente comportato ritardi prima dell'inizio della trasmissione dei contenuti (per connessioni veloci, i ritardi non superavano i 10 millisecondi, mentre nei canali di comunicazione più lenti si osservava persino un'accelerazione nel funzionamento). Per fornire al resolver CDN informazioni sulla posizione del cliente è stata anche considerata l'applicazione dell'estensione EDNS Client Subnet.
Fonte: opennet.ru
