L'azienda Mozilla un accordo con il terzo fornitore DNS su HTTPS (DoH, DNS over HTTPS) per Firefox. Oltre ai precedenti server DNS di CloudFlare ("https://1.1.1.1/dns-query") e (), le impostazioni includeranno anche il servizio Comcast (https://doh.xfinity.com/dns-query). Attiva DoH e scegli nelle impostazioni della connessione di rete.
Ricordiamo che in Firefox 77 è stata attivata una verifica sperimentale di DNS over HTTPS con l'invio di 10 richieste di prova da ciascun cliente e la selezione automatica del fornitore DoH. Questa verifica è stata disattivata nella versione , poiché si è trasformata in una sorta di attacco DDoS al servizio NextDNS, che non ha sopportato il carico.
I fornitori di DoH proposti in Firefox sono selezionati in base a con risolutori DNS affidabili, secondo cui l'operatore DNS può utilizzare i dati ricevuti per la risoluzione solo per garantire il funzionamento del servizio, non deve conservare i log per più di 24 ore, non può trasferire i dati a terzi e deve rivelare informazioni sui metodi di trattamento dei dati. Il servizio deve anche assumersi l'impegno di non censurare, non filtrare, non interferire e non bloccare il traffico DNS, tranne nei casi previsti dalla legge.
Tra gli eventi correlati a DNS-over-HTTPS si può notare la decisione di Apple di implementare il supporto per DNS-over-HTTPS e DNS-over-TLS nelle future versioni di iOS 14 e macOS 11, e il supporto per estensioni in formato WebExtension in Safari.
Ricordiamo che il DoH può rivelarsi utile per evitare perdite di informazioni sui nomi host richiesti attraverso i server DNS dei provider, per contrastare attacchi MITM e la sostituzione del traffico DNS (ad esempio, quando ci si connette a Wi-Fi pubblici), per affrontare blocchi a livello DNS (il DoH non può sostituire una VPN per bypassare i blocchi implementati a livello DPI) o per consentire il funzionamento in caso di impossibilità di contattare direttamente i server DNS (ad esempio, quando si utilizza un proxy). In condizioni normali, le richieste DNS vengono inviate direttamente ai server DNS specificati nella configurazione del sistema, mentre con il DoH, la richiesta per determinare l'indirizzo IP dell'host è incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il risolutore gestisce le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per l'autenticazione del cliente e del server, ma non protegge il traffico dall'intercettazione e non garantisce la riservatezza delle richieste.
Fonte: opennet.ru
