Sviluppatori Mozilla sull'avvio di una nuova ricerca nell'ambito della preparazione all'implementazione della funzione di interrogazione DNS tramite HTTPS (DoH, DNS over HTTPS). Nel corso dell'esperimento condotto sui sistemi di alcuni utenti delle versioni di Firefox negli Stati Uniti sarà raccolta statistica sull'uso dei sistemi di controllo parentale e dei resolver aziendali. È possibile rinunciare alla partecipazione all'esperimento tramite la pagina «about:studies» (la ricerca è presentata nell'elenco come «Detection Logic for DNS-over-HTTPS»).
Per la ricerca saranno raccolti dati anonimizzati, che includono solo contatori, senza indicazione di indirizzi e domini specifici. Per identificare i sistemi di controllo parentale sarà effettuata una richiesta per la risoluzione del nome exampleadultsite.com e, se non corrisponde all'IP effettivo, si può considerare che sia attiva la blocco dei contenuti per adulti a livello di DNS. Saranno inoltre valutati Indirizzi IP i risultati restituiti per Google e YouTube, per verificare la loro sostituzione con restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com.
Per identificare l'uso di resolver aziendali interni, gli host determinati all'apertura dei siti saranno verificati per l'uso di domini di primo livello (TLD) atipici e per il ritorno di indirizzi intranet per essi. La motivazione dietro l'esperimento sono state le preoccupazioni che l'attivazione predefinita di DNS-over-HTTPS potrebbe interferire con il funzionamento dei sistemi di controllo parentale che operano tramite DNS, e creare problemi per gli utenti delle reti aziendali che utilizzano server DNS che forniscono informazioni su domini interni non visibili nella rete esterna.
Ricordiamo che DoH può rivelarsi utile per escludere fughe di informazioni sui nomi host richiesti attraverso i server DNS dei provider, combattere gli attacchi MITM e la sostituzione del traffico DNS, contrastare le blocchi a livello DNS o organizzare il funzionamento nel caso in cui non sia possibile accedere direttamente ai server DNS (ad esempio, quando si lavora tramite proxy). In una situazione normale, le richieste DNS vengono inviate direttamente a determinati server DNS configurati nel sistema, mentre nel caso di DoH la richiesta per determinare l'indirizzo IP dell'host è incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver elabora le richieste tramite Web API. Lo standard attuale DNSSEC utilizza la crittografia solo per l'autenticazione del cliente e del server, ma non protegge il traffico dall'intercettazione e non garantisce la riservatezza delle richieste.
Per attivare DoH in about:config è necessario modificare il valore della variabile network.trr.mode, supportata a partire da Firefox 60. Il valore 0 disabilita completamente DoH; 1 utilizza DNS o DoH, a seconda di quale sia più veloce; 2 utilizza DoH come predefinito, con DNS come opzione di riserva; 3 utilizza solo DoH; 4 è la modalità di mirroring in cui DoH e DNS vengono utilizzati parallelamente. Per impostazione predefinita viene utilizzato il server DNS di CloudFlare, ma può essere modificato tramite il parametro network.trr.uri, ad esempio è possibile impostarlo su "https://dns.google.com/experimental" o "https://9.9.9.9/dns-query".
Fonte: opennet.ru
