Azienda Mozilla un accordo con un terzo fornitore di DNS sopra HTTPS (DoH, DNS over HTTPS) per Firefox. Oltre ai server DNS offerti in precedenza da CloudFlare ("https://1.1.1.1/dns-query") e (), le impostazioni includeranno anche il servizio di Comcast (https://doh.xfinity.com/dns-query). Attivare DoH e selezionare nelle impostazioni della connessione di rete.
Ricordiamo che in Firefox 77 è stata attivata una verifica sperimentale di DNS over HTTPS con l'invio di 10 query di prova da ciascun client e una selezione automatica del fornitore DoH. Questa verifica ha dovuto essere disabilitata nella versione , poiché si è trasformata in una sorta di attacco DDoS al servizio NextDNS, che non ha potuto gestire il carico.
I fornitori di DoH proposti in Firefox vengono selezionati in base a per i resolver DNS affidabili, secondo cui l'operatore DNS può utilizzare i dati ottenuti per la risoluzione solo per garantire il funzionamento del servizio, non deve conservare i log per più di 24 ore, non può trasmettere dati a terzi e deve rivelare informazioni sui metodi di elaborazione dei dati. Il servizio deve anche impegnarsi a non censurare, non filtrare, non interferire e non bloccare il traffico DNS, eccetto nei casi previsti dalla legge.
Tra gli eventi legati a DNS-over-HTTPS si può anche notare che Apple implementerà il supporto per DNS-over-HTTPS e DNS-over-TLS nelle future versioni di iOS 14 e macOS 11, oltre a supportare le estensioni in formato WebExtension in Safari.
Ricordiamo che DoH può rivelarsi utile per escludere perdite di dati riguardanti i nomi host richiesti tramite i server DNS dei provider, combattere attacchi MITM e la sostituzione del traffico DNS (ad esempio, quando si è connessi a Wi-Fi pubblici), contrastare i blocchi a livello DNS (DoH non può sostituire una VPN per eludere i blocchi implementati a livello DPI) oppure per organizzare l’operatività in caso di impossibilità di accesso diretto ai server DNS (ad esempio, quando si lavora tramite proxy). In una situazione normale, le richieste DNS vengono inviate direttamente ai server DNS specificati nella configurazione del sistema, mentre nel caso di DoH, la richiesta per determinare l'indirizzo IP di un host viene incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver elabora le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per autenticare il client e il server, ma non protegge il traffico dall'intercettazione né garantisce la riservatezza delle richieste.
Fonte: opennet.ru
