Sviluppatori di Firefox a conclusione del test di supporto per DNS sopra HTTPS (DoH, DNS over HTTPS) e l'intenzione di attivare questa tecnologia di default per gli utenti negli Stati Uniti alla fine di settembre. L'attivazione avverrà gradualmente, inizialmente per una piccola percentuale di utenti, e in caso di assenza di problemi verrà estesa fino al 100%. Dopo aver coperto gli Stati Uniti, sarà presa in considerazione la possibilità di attivare DoH anche in altri paesi.
I test condotti nel corso dell'anno hanno dimostrato l'affidabilità e le buone prestazioni del servizio, oltre a consentire l'identificazione di alcune situazioni in cui DoH può causare problemi e sviluppare soluzioni per evitarli (ad esempio, affrontati con l'ottimizzazione del traffico nelle reti di distribuzione dei contenuti, il parental control e le zone DNS interne aziendali).
L'importanza della crittografia del traffico DNS è considerata come un fattore critico per la protezione degli utenti, quindi si è deciso di attivare DoH di default, ma nella prima fase solo per gli utenti negli Stati Uniti. Dopo l'attivazione, verrà visualizzato un avviso all'utente, che consentirà, se lo desidera, di rinunciare all'accesso ai server DNS DoH centralizzati e tornare allo schema tradizionale di invio di richieste non crittografate al server DNS del provider (a differenza dell'infrastruttura distribuita dei resolver DNS, in DoH viene utilizzato un servizio DoH specifico, che può essere considerato come un singolo punto di errore).
Con l'attivazione di DoH potrebbe esserci un malfunzionamento nei sistemi di parental control e nelle reti aziendali che utilizzano una struttura di nomi DNS accessibile solo all'interno della rete per la conversione degli indirizzi intranet e degli host aziendali. Per ovviare a problemi con tali sistemi, è stato aggiunto un sistema di controlli che disattiva automaticamente DoH. I controlli vengono eseguiti ad ogni avvio del browser o quando viene rilevato un cambiamento di sottorete.
Il ritorno automatico all'uso del risolutore di sistema è previsto anche in caso di errori nel risolvere tramite DoH (ad esempio, in caso di interruzione della connettività con il provider DoH o di problemi nella sua infrastruttura). Il senso di tali controlli è discutibile, poiché non c'è nulla che impedisca agli aggressori di controllare il funzionamento del risolutore o di inserire il traffico, simulando tale comportamento per disattivare la crittografia del traffico DNS. Il problema è risolto aggiungendo nelle impostazioni l'opzione "DoH always" (non attiva di default), la cui attivazione impedisce la disattivazione automatica, rappresentando un compromesso ragionevole.
Per determinare i risolutori aziendali vengono eseguiti controlli su domini di primo livello (TLD) non standard e il risolutore di sistema restituisce indirizzi intranet. Per verificare l'attivazione del controllo parentale, si tenta di risolvere il nome exampleadultsite.com; se il risultato non corrisponde all'IP effettivo, si considera che il blocco dei contenuti per adulti sia attivo a livello DNS. Si controllano anche gli indirizzi IP di Google e YouTube per verificare se siano sostituiti con restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com. Inoltre, Mozilla implementare un host di verifica unificato , che possono utilizzare i fornitori di servizi Internet e i servizi di controllo parentale come marker per disattivare DoH (se l'host non viene risolto, Firefox disattiva DoH).
L'utilizzo di un servizio DoH unico può anche potenzialmente portare a problemi di ottimizzazione del traffico nelle reti di distribuzione dei contenuti, che eseguono il bilanciamento del traffico utilizzando DNS (il server DNS della rete CDN elabora la risposta tenendo conto dell'indirizzo del resolver e fornisce l'host più vicino per il recupero dei contenuti). L'invio di una richiesta DNS dal resolver più vicino all'utente in tali CDN porta al ritorno dell'indirizzo dell'host più vicino all'utente, ma l'invio di una richiesta DNS da un resolver centralizzato fornirà l'indirizzo dell'host più vicino al server DNS-over-HTTPS. I test pratici hanno mostrato che l'applicazione del DNS-over-HTTP nell'uso delle CDN non ha praticamente comportato ritardi prima dell'inizio della trasmissione dei contenuti (per connessioni veloci, i ritardi non superavano i 10 millisecondi, mentre nei canali di comunicazione più lenti si osservava persino un'accelerazione nel funzionamento). Per fornire al resolver CDN informazioni sulla posizione del cliente è stata anche considerata l'applicazione dell'estensione EDNS Client Subnet.
Ricordiamo che DoH può rivelarsi utile per escludere fughe di informazioni sui nomi host richiesti attraverso i server DNS dei provider, combattere gli attacchi MITM e la sostituzione del traffico DNS, contrastare le blocchi a livello DNS o organizzare il funzionamento nel caso in cui non sia possibile accedere direttamente ai server DNS (ad esempio, quando si lavora tramite proxy). In una situazione normale, le richieste DNS vengono inviate direttamente a determinati server DNS configurati nel sistema, mentre nel caso di DoH la richiesta per determinare l'indirizzo IP dell'host è incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver elabora le richieste tramite Web API. Lo standard attuale DNSSEC utilizza la crittografia solo per l'autenticazione del cliente e del server, ma non protegge il traffico dall'intercettazione e non garantisce la riservatezza delle richieste.
Per attivare DoH in about:config è necessario modificare il valore della variabile network.trr.mode, supportata a partire da Firefox 60. Il valore 0 disabilita completamente DoH; 1 utilizza DNS o DoH, a seconda di quale sia più veloce; 2 utilizza DoH come predefinito, con DNS come opzione di riserva; 3 utilizza solo DoH; 4 è la modalità di mirroring in cui DoH e DNS vengono utilizzati parallelamente. Per impostazione predefinita viene utilizzato il server DNS di CloudFlare, ma può essere modificato tramite il parametro network.trr.uri, ad esempio è possibile impostarlo su "https://dns.google.com/experimental" o "https://9.9.9.9/dns-query".
Fonte: opennet.ru
