"אוהב ולא אוהב": DNS דרך HTTPS

אנו מנתחים דעות בנוגע לתכונות של DNS דרך HTTPS, שהפכו לאחרונה ל"סלע מחלוקת" בקרב ספקי אינטרנט ומפתחי דפדפנים.

/unsplash/ סטיב חלמה

מהות חוסר ההסכמה

לאחרונה כלי תקשורת מרכזיים и פלטפורמות נושאיות (כולל Habr), הם כותבים לעתים קרובות על פרוטוקול DNS over HTTPS (DoH). הוא מצפין בקשות לשרת ה-DNS ותגובות להן. גישה זו מאפשרת לך להסתיר את שמות המארחים שהמשתמש ניגש אליהם. מהפרסומים ניתן להסיק שהפרוטוקול החדש (ב-IETF אישר את זה בשנת 2018) חילק את קהילת ה-IT לשני מחנות.

מחציתם מאמינים שהפרוטוקול החדש ישפר את אבטחת האינטרנט ומיישמים אותו ביישומים ובשירותים שלהם. החצי השני משוכנע שהטכנולוגיה רק ​​מקשה על עבודתם של מנהלי מערכת. לאחר מכן, ננתח את הטיעונים של שני הצדדים.

איך DoH עובד

לפני שניכנס למה ספקי אינטרנט ומשתתפי שוק אחרים בעד או נגד DNS באמצעות HTTPS, בואו נסתכל בקצרה כיצד זה עובד.

במקרה של DoH, הבקשה לקבוע את כתובת ה-IP מובלעת בתעבורת HTTPS. לאחר מכן הוא עובר לשרת HTTP, שם הוא מעובד באמצעות ה-API. הנה בקשה לדוגמה מ-RFC 8484 (דף 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

לפיכך, תעבורת DNS מוסתרת בתעבורת HTTPS. הלקוח והשרת מתקשרים דרך היציאה הסטנדרטית 443. כתוצאה מכך, בקשות למערכת שמות הדומיין נשארות אנונימיות.

למה הוא לא מועדף?

מתנגדים ל-DNS דרך HTTPS הם אומריםשהפרוטוקול החדש יפחית את אבטחת החיבורים. על ידי על פי פול ויקסי, חבר בצוות הפיתוח של DNS, יקשה על מנהלי מערכת לחסום אתרים שעלולים להיות זדוניים. משתמשים רגילים יאבדו את היכולת להגדיר בקרת הורים מותנית בדפדפנים.

דעותיו של פול משותפות לספקי אינטרנט בבריטניה. חקיקה במדינה מחייב לחסום אותם ממשאבים עם תוכן אסור. אבל תמיכה ב-DoH בדפדפנים מסבכת את משימת סינון התנועה. מבקרי הפרוטוקול החדש כוללים גם את מרכז התקשורת הממשלתי באנגליה (GCHQ) וקרן השעון באינטרנט (IWF), המנהל רישום של משאבים חסומים.

בבלוג שלנו על Habré:

• המלחמה בשיחות הרובו בארה"ב - מי מנצח ולמה
• הטלקום הבריטית תשלם למנויים פיצוי על הפרעות בשירות

מומחים מציינים ש-DNS דרך HTTPS יכול להפוך לאיום אבטחת סייבר. בתחילת יולי מומחי אבטחת מידע מ-Netlab גילו הווירוס הראשון שהשתמש בפרוטוקול החדש כדי לבצע התקפות DDoS - גודלואה. התוכנה הזדונית ניגשה ל-DoH כדי להשיג רשומות טקסט (TXT) ולחלץ כתובות URL של שרת פקודות ובקרה.

בקשות DoH מוצפנות לא זוהו על ידי תוכנת אנטי וירוס. מומחי אבטחת מידע פַּחַדשאחרי Godlua יגיעו תוכנות זדוניות אחרות, בלתי נראות לניטור DNS פסיבי.

אבל לא כולם נגד

להגנה על DNS דרך HTTPS בבלוג שלו דיבר מהנדס APNIC ג'ף יוסטון. לדבריו, הפרוטוקול החדש יאפשר להילחם בהתקפות חטיפת DNS, שהפכו לאחרונה יותר ויותר נפוצות. העובדה הזו מאשר דוח ינואר מחברת אבטחת הסייבר FireEye. גם חברות IT גדולות תמכו בפיתוח הפרוטוקול.

בתחילת השנה שעברה, DoH החל להיבדק בגוגל. ולפני חודש החברה מוצג גרסת זמינות כללית של שירות DoH שלה. בגוגל לְקַווֹת, שתגביר את אבטחת הנתונים האישיים ברשת ויגן מפני התקפות MITM.

מפתח דפדפן אחר - מוזילה - תומך DNS דרך HTTPS מאז הקיץ שעבר. במקביל, החברה מקדמת באופן פעיל טכנולוגיה חדשה בסביבת ה-IT. לשם כך, איגוד ספקי האינטרנט (ISPA) אפילו מועמד מוזילה לפרס נבל השנה באינטרנט. בתגובה, נציגי החברה ציינתי, שמתוסכלים מהרתיעה של מפעילי טלקום לשפר את תשתית האינטרנט המיושנת שלהם.

/unsplash/ TETrebbien

תמיכה במוזילה כלי התקשורת הגדולים התבטאו וכמה ספקי אינטרנט. במיוחד בבריטיש טלקום שקולשהפרוטוקול החדש לא ישפיע על סינון התוכן וישפר את האבטחה של המשתמשים בבריטניה. בלחץ ציבורי ISPA היה צריך להיזכר מועמדות ל"נבל".

ספקי ענן גם דגלו בהכנסת DNS דרך HTTPS, למשל Cloudflare. הם כבר מציעים שירותי DNS המבוססים על הפרוטוקול החדש. רשימה מלאה של דפדפנים ולקוחות התומכים ב-DoH זמינה בכתובת GitHub.

בכל מקרה, עדיין לא ניתן לדבר על סיום העימות בין שני המחנות. מומחי IT חוזים שאם DNS על HTTPS נועד להפוך לחלק מחסנית טכנולוגיות האינטרנט המיינסטרים, זה ייקח לא עשור אחד.

על מה עוד אנחנו כותבים בבלוג הארגוני שלנו:

• כיצד נבנית רשת ספקי האינטרנט
• שירותים בסיסיים ברשתות ספקי אינטרנט
• התכנסות ואיחוד - מספר משימות במכשיר אחד

מקור: www.habr.com