Gli sviluppatori di Firefox hanno annunciato l'espansione dell'uso della modalità DNS over HTTPS (DoH), che sarà attivata di default per gli utenti in Canada (in precedenza, DoH era attivato di default solo per gli Stati Uniti). L'attivazione di DoH per gli utenti canadesi avverrà in più fasi: il 20 luglio DoH sarà attivato per il 1% degli utenti canadesi e se non ci saranno problemi imprevisti, la copertura sarà estesa al 100% entro la fine di settembre.
La transizione degli utenti canadesi di Firefox a DoH avviene con la partecipazione di CIRA (Canadian Internet Registration Authority), che regola lo sviluppo di Internet in Canada e si occupa del dominio di primo livello 'ca'. L'organizzazione CIRA ha anche aderito al programma TRR (Trusted Recursive Resolver) ed è inclusa tra i fornitori di DNS-over-HTTPS disponibili in Firefox.
Dopo l'attivazione di DoH nel sistema dell'utente, verrà visualizzato un avviso che consente di rinunciare al passaggio a DoH e continuare a utilizzare lo schema tradizionale di invio di richieste non crittografate al server DNS del fornitore. È possibile modificare il fornitore o disattivare DoH nelle impostazioni della connessione di rete. Oltre ai server DoH di CIRA, si possono scegliere i servizi di Cloudflare e NextDNS.
I fornitori di DoH proposti in Firefox vengono selezionati in base ai requisiti per i resolver DNS affidabili, secondo i quali l'operatore DNS può utilizzare i dati ottenuti per la risoluzione solo per garantire il funzionamento del servizio, non deve conservare i log per più di 24 ore, non può trasferire i dati a terzi ed è tenuto a rivelare informazioni sulle modalità di trattamento dei dati. Il servizio deve anche assumere l'impegno di non censurare, filtrare, interferire o bloccare il traffico DNS, eccetto in situazioni previste dalla legge.
Ricordiamo che DoH può risultare utile per evitare perdite di informazioni sui nomi host richiesti attraverso i server DNS dei provider, combattere attacchi MITM e sostituzione del traffico DNS (ad esempio, quando ci si connette a Wi-Fi pubblici), contrastare le restrizioni a livello di DNS (DoH non può sostituire VPN nell'ambito della elusione delle restrizioni implementate a livello DPI) o per organizzare il funzionamento nel caso in cui non sia possibile accedere direttamente ai server DNS (ad esempio, quando si utilizza un proxy). In situazioni normali, le richieste DNS vengono inviate direttamente ai server DNS configurati nel sistema, mentre con DoH la richiesta di risoluzione Indirizzi IP del host è incapsulata nel traffico HTTPS e inviata a un server HTTP, dove il resolver elabora le richieste tramite Web API. Lo standard esistente DNSSEC utilizza la crittografia solo per l'autenticazione del client e del server, ma non protegge il traffico da intercettazioni e non garantisce la riservatezza delle richieste.
Fonte: opennet.ru
