Sviluppatori di Firefox l'attivazione predefinita della modalità DNS su HTTPS (DoH, DNS over HTTPS) per gli utenti negli Stati Uniti. La crittografia del traffico DNS è considerata un fattore fondamentale nella protezione degli utenti. A partire da oggi, DoH è attivato per impostazione predefinita in tutte le nuove installazioni effettuate da utenti negli Stati Uniti. Gli utenti esistenti negli Stati Uniti verranno trasferiti su DoH nelle prossime settimane. Nell'Unione Europea e in altri paesi, l'attivazione di DoH per impostazione predefinita è attualmente .
Dopo l'attivazione di DoH, all'utente viene mostrato un avviso che consente, se lo desidera, di rinunciare all'accesso ai server DNS DoH centralizzati e tornare al tradizionale invio di richieste non crittografate al server DNS del provider. A differenza dell'infrastruttura distribuita dei resolver DNS, DoH è legato a un servizio DoH specifico, che può essere considerato come un unico punto di fallimento. Attualmente sono offerti due provider DNS — CloudFlare (di default) e .
Cambia provider o disabilita DoH nelle impostazioni della connessione di rete. Ad esempio, puoi specificare un server DoH alternativo "https://dns.google/dns-query" per accedere ai server Google, "https://dns.quad9.net/dns-query" per Quad9 e "https://doh.opendns.com/dns-query" per OpenDNS. In about:config è prevista anche l'impostazione network.trr.mode, che consente di modificare la modalità di funzionamento di DoH: il valore 0 disabilita completamente DoH; 1 utilizza DNS o DoH, a seconda di quale è più veloce; 2 utilizza DoH per impostazione predefinita e DNS come backup; 3 utilizza solo DoH; 4 è una modalità di mirroring in cui DoH e DNS sono utilizzati in parallelo.
Ricordiamo che il DoH può rivelarsi utile per evitare perdite di informazioni sui nomi host richiesti attraverso i server DNS dei provider, per contrastare attacchi MITM e la sostituzione del traffico DNS (ad esempio, quando ci si connette a Wi-Fi pubblici), per affrontare blocchi a livello DNS (il DoH non può sostituire una VPN per bypassare i blocchi implementati a livello DPI) o per consentire il funzionamento in caso di impossibilità di contattare direttamente i server DNS (ad esempio, quando si utilizza un proxy). In condizioni normali, le richieste DNS vengono inviate direttamente ai server DNS specificati nella configurazione del sistema, mentre con il DoH, la richiesta per determinare l'indirizzo IP dell'host è incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il risolutore gestisce le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per l'autenticazione del cliente e del server, ma non protegge il traffico dall'intercettazione e non garantisce la riservatezza delle richieste.
Per la selezione dei provider DoH suggeriti in Firefox sono state formulate con risolutori DNS affidabili, secondo cui l'operatore DNS può utilizzare i dati ricevuti per la risoluzione solo per garantire il funzionamento del servizio, non deve conservare i log per più di 24 ore, non può trasferire i dati a terzi e deve rivelare informazioni sui metodi di trattamento dei dati. Il servizio deve anche assumersi l'impegno di non censurare, non filtrare, non interferire e non bloccare il traffico DNS, tranne nei casi previsti dalla legge.
Applicare DoH con cautela. Ad esempio, in RF, gli indirizzi IP 104.16.248.249 e 104.16.249.249, associati al server DoH di default in Firefox mozilla.cloudflare-dns.com, in su richiesta del tribunale di Stavropol del 10.06.2013.
L'uso di DoH può anche portare a problemi in aree come i sistemi di controllo genitoriale, l'accesso a spazi dei nomi interni nei sistemi aziendali, la scelta dei percorsi nei sistemi di ottimizzazione della consegna dei contenuti e l'esecuzione di ordinanze legali per contrastare la diffusione di contenuti illegali e lo sfruttamento dei minori. Per ovviare a tali problemi è stata implementata e testata una serie di controlli che disabilitano automaticamente DoH in determinate condizioni.
Per identificare i resolver aziendali vengono eseguiti controlli su domini di primo livello (TLD) non tipici e il ritorno di indirizzi intranet dal resolver di sistema. Per verificare l'attivazione del controllo parentale, viene tentato di risolvere il nome exampleadultsite.com e se il risultato non corrisponde all'IP effettivo, si considera che il blocco dei contenuti per adulti sia attivo a livello DNS. Vengono inoltre controllati gli indirizzi IP di Google e YouTube per verificare eventuali sostituzioni con restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com. Questi controlli consentono agli aggressori che controllano il funzionamento del resolver o in grado di interferire nel traffico di simulare tale comportamento per disabilitare la crittografia del traffico DNS.
L'utilizzo di un servizio DoH centralizzato può anche comportare problemi nell'ottimizzazione del traffico nelle reti di distribuzione dei contenuti, che eseguono il bilanciamento del traffico utilizzando DNS (il server DNS della rete CDN genera una risposta considerando l'indirizzo del resolver e fornisce l'host più vicino per il recupero del contenuto). L'invio di una richiesta DNS dal resolver più vicino all'utente in tali CDN porta al ritorno dell'indirizzo dell'host più vicino all'utente, ma l'invio di una richiesta DNS da un resolver centralizzato fornirà l'indirizzo dell'host più vicino al server DNS-over-HTTPS. Test pratici hanno dimostrato che l'applicazione di DNS-over-HTTP con l'utilizzo di CDN raramente comportava ritardi all'inizio della trasmissione dei contenuti (per connessioni veloci, i ritardi non superavano i 10 millisecondi, mentre su canali di comunicazione più lenti si osservava persino un'accelerazione delle prestazioni). Per trasmettere al resolver CDN informazioni sulla posizione del cliente, è stata anche considerata l'applicazione dell'estensione EDNS Client Subnet.
Fonte: opennet.ru
