მოწონებები და არ მომწონს: DNS HTTPS-ზე

ჩვენ ვაანალიზებთ მოსაზრებებს DNS-ის მახასიათებლებთან დაკავშირებით HTTPS-ზე, რომლებიც ახლახან იქცა „კამათად“ ინტერნეტ პროვაიდერებსა და ბრაუზერის დეველოპერებს შორის.

/Unsplash/ სტივ ჰალამა

უთანხმოების არსი

ბოლო დროს ძირითადი მედია и თემატური პლატფორმები (მათ შორის Habr), ისინი ხშირად წერენ DNS-ის შესახებ HTTPS (DoH) პროტოკოლით. ის შიფრავს მოთხოვნებს DNS სერვერზე და პასუხებს მათზე. ეს მიდგომა საშუალებას გაძლევთ დამალოთ მასპინძლების სახელები, რომლებსაც მომხმარებელი წვდება. პუბლიკაციებიდან შეგვიძლია დავასკვნათ, რომ ახალი პროტოკოლი (IETF-ში დაამტკიცა 2018 წელს) დაყო IT საზოგადოება ორ ბანაკად.

ნახევარს სჯერა, რომ ახალი პროტოკოლი გააუმჯობესებს ინტერნეტ უსაფრთხოებას და ახორციელებს მას თავის აპლიკაციებსა და სერვისებში. მეორე ნახევარი დარწმუნებულია, რომ ტექნოლოგია მხოლოდ ართულებს სისტემის ადმინისტრატორების საქმეს. შემდეგ გავაანალიზებთ ორივე მხარის არგუმენტებს.

როგორ მუშაობს DoH

სანამ განვიხილავთ, თუ რატომ არიან ISP-ები და ბაზრის სხვა მონაწილეები HTTPS-ზე DNS-ის მომხრე ან წინააღმდეგი, მოდით მოკლედ გადავხედოთ როგორ მუშაობს.

DoH-ის შემთხვევაში, IP მისამართის განსაზღვრის მოთხოვნა ჩასმულია HTTPS ტრაფიკში. შემდეგ ის გადადის HTTP სერვერზე, სადაც მუშავდება API-ს გამოყენებით. აქ არის მოთხოვნის მაგალითი RFC 8484-დან (გვერდი 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

ამრიგად, DNS ტრაფიკი იმალება HTTPS ტრაფიკში. კლიენტი და სერვერი ურთიერთობენ სტანდარტული პორტით 443. შედეგად, მოთხოვნები დომენის სახელების სისტემაში რჩება ანონიმური.

რატომ არ არის მომხრე?

DNS-ის მოწინააღმდეგეები HTTPS-ზე ისინი ამბობენ, რომრომ ახალი პროტოკოლი შეამცირებს კავშირების უსაფრთხოებას. ავტორი შესაბამისად პოლ ვიქსი, DNS განვითარების გუნდის წევრი, გაართულებს სისტემის ადმინისტრატორებს პოტენციურად მავნე საიტების დაბლოკვას. ჩვეულებრივი მომხმარებლები დაკარგავენ ბრაუზერებში პირობითი მშობლის კონტროლის დაყენების შესაძლებლობას.

პავლეს შეხედულებებს იზიარებენ დიდი ბრიტანეთის ინტერნეტ პროვაიდერები. ქვეყნის კანონმდებლობა ავალდებულებს დაბლოკოს ისინი აკრძალული შინაარსის რესურსებისგან. მაგრამ DoH-ის მხარდაჭერა ბრაუზერებში ართულებს ტრაფიკის ფილტრაციის ამოცანას. ახალი პროტოკოლის კრიტიკოსები ასევე მოიცავს სამთავრობო კომუნიკაციების ცენტრს ინგლისში (GCHQ) და Internet Watch Foundation (IWF), რომელიც აწარმოებს დაბლოკილი რესურსების რეესტრს.

ჩვენს ბლოგში Habré-ზე:

• აშშ-ს რობოტული ომი - ვინ იმარჯვებს და რატომ
• ბრიტანული ტელეკომი აბონენტებს მომსახურების შეწყვეტის კომპენსაციას გადაუხდის

ექსპერტები აღნიშნავენ, რომ DNS HTTPS-ზე შეიძლება გახდეს კიბერუსაფრთხოების საფრთხე. ივლისის დასაწყისში ინფორმაციული უსაფრთხოების სპეციალისტები ნეტლაბიდან აღმოაჩინეს პირველი ვირუსი, რომელმაც გამოიყენა ახალი პროტოკოლი DDoS შეტევების განსახორციელებლად - გოდლუა. მავნე პროგრამამ შეაღწია DoH-ს ტექსტური ჩანაწერების (TXT) მოსაპოვებლად და სერვერის ბრძანებების და კონტროლის URL-ების ამოსაღებად.

დაშიფრული DoH მოთხოვნები არ იქნა ამოცნობილი ანტივირუსული პროგრამული უზრუნველყოფის მიერ. ინფორმაციული უსაფრთხოების სპეციალისტები შიშირომ გოდლუას შემდეგ მოვა სხვა მავნე პროგრამა, უხილავი DNS პასიური მონიტორინგისთვის.

მაგრამ ყველა არ არის წინააღმდეგი

DNS-ის დასაცავად HTTPS-ზე მის ბლოგზე ისაუბრა APNIC ინჟინერი ჯეფ ჰიუსტონი. მისი თქმით, ახალი პროტოკოლი შესაძლებელს გახდის DNS-ის გატაცების შეტევებთან ბრძოლას, რაც ბოლო დროს სულ უფრო ხშირად ხდება. Ეს ფაქტი ადასტურებს იანვრის ანგარიში კიბერუსაფრთხოების კომპანია FireEye-სგან. მსხვილმა IT კომპანიებმა ასევე მხარი დაუჭირეს პროტოკოლის შემუშავებას.

გასული წლის დასაწყისში DoH-ის ტესტირება დაიწყო Google-ში. და ერთი თვის წინ კომპანია წარმოდგენილი მისი DoH სერვისის ზოგადი ხელმისაწვდომობის ვერსია. Google-ზე იმედი, რომ ეს გაზრდის პერსონალური მონაცემების უსაფრთხოებას ქსელში და დაიცავს MITM შეტევებისგან.

სხვა ბრაუზერის დეველოპერი - Mozilla - მხარს უჭერს DNS HTTPS-ზე გასული ზაფხულიდან. ამავდროულად, კომპანია აქტიურად ეწევა ახალი ტექნოლოგიების პოპულარიზაციას IT გარემოში. ამისათვის ინტერნეტ სერვისების პროვაიდერების ასოციაცია (ISPA) ნომინირებულიც კი Mozilla წლის ინტერნეტ ბოროტმოქმედის ჯილდოსთვის. საპასუხოდ კომპანიის წარმომადგენლები აღნიშნა, რომლებიც იმედგაცრუებულნი არიან ტელეკომის ოპერატორების უხალისობით გააუმჯობესონ თავიანთი მოძველებული ინტერნეტ ინფრასტრუქტურა.

/Unsplash/ TETrebbien

Mozilla-ს მხარდასაჭერად ამის შესახებ მთავარმა მედიამ ისაუბრა და ზოგიერთი ინტერნეტ პროვაიდერი. კერძოდ, British Telecom-ში განიხილოსრომ ახალი პროტოკოლი გავლენას არ მოახდენს კონტენტის ფილტრაციაზე და გააუმჯობესებს გაერთიანებული სამეფოს მომხმარებლების უსაფრთხოებას. საზოგადოების ზეწოლის ქვეშ ISPA მოუხდა გაყვანა "ბოროტმოქმედის" ნომინაცია.

Cloud პროვაიდერები ასევე მხარს უჭერდნენ DNS-ის დანერგვას HTTPS-ზე, მაგალითად CloudFlare. ისინი უკვე გვთავაზობენ DNS სერვისებს ახალი პროტოკოლის საფუძველზე. ბრაუზერებისა და კლიენტების სრული სია, რომლებიც მხარს უჭერენ DoH, ხელმისაწვდომია აქ GitHub.

ყოველ შემთხვევაში, ორ ბანაკს შორის დაპირისპირების დასრულებაზე საუბარი ჯერ არ შეიძლება. IT ექსპერტები ვარაუდობენ, რომ თუ HTTPS-ის საშუალებით DNS იქნება განზრახული გახდეს მთავარი ინტერნეტ ტექნოლოგიების ჯგუფის ნაწილი, ამას დასჭირდება ერთ ათწლეულზე მეტი.

კიდევ რაზე ვწერთ ჩვენს კორპორატიულ ბლოგზე:

• როგორ არის აგებული ინტერნეტ პროვაიდერის ქსელი
• ძირითადი სერვისები ინტერნეტ პროვაიდერების ქსელებში
• კონვერგენცია და გაერთიანება - მრავალი დავალება ერთ მოწყობილობაზე

წყარო: www.habr.com