"ຮັກແລະບໍ່ມັກ": DNS ຜ່ານ HTTPS

ພວກເຮົາວິເຄາະຄວາມຄິດເຫັນກ່ຽວກັບລັກສະນະຂອງ DNS ຜ່ານ HTTPS, ເຊິ່ງບໍ່ດົນມານີ້ໄດ້ກາຍເປັນ "ກະດູກຂອງຄວາມຂັດແຍ້ງ" ໃນບັນດາຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດແລະຜູ້ພັດທະນາຕົວທ່ອງເວັບ.

/unsplash/ Steve Halama

ໂດຍເນື້ອແທ້ແລ້ວຂອງຄວາມບໍ່ເຫັນດີ

ຊ້າ ສື່​ມວນ​ຊົນ​ທີ່​ສໍາ​ຄັນ​ и ເວທີຫົວຂໍ້ (ລວມທັງ Habr), ພວກເຂົາມັກຈະຂຽນກ່ຽວກັບ DNS ຜ່ານ HTTPS (DoH) protocol. ມັນເຂົ້າລະຫັດການຮ້ອງຂໍກັບເຄື່ອງແມ່ຂ່າຍ DNS ແລະການຕອບສະຫນອງຕໍ່ພວກເຂົາ. ວິທີການນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດເຊື່ອງຊື່ຂອງເຈົ້າພາບທີ່ຜູ້ໃຊ້ເຂົ້າເຖິງ. ຈາກສິ່ງພິມທີ່ພວກເຮົາສາມາດສະຫຼຸບໄດ້ວ່າໂປໂຕຄອນໃຫມ່ (ໃນ IETF ອະນຸມັດມັນ ໃນປີ 2018) ໄດ້ແບ່ງຊຸມຊົນໄອທີອອກເປັນສອງແຄ້ມ.

ເຄິ່ງຫນຶ່ງເຊື່ອວ່າອະນຸສັນຍາໃຫມ່ຈະປັບປຸງຄວາມປອດໄພທາງອິນເຕີເນັດແລະກໍາລັງປະຕິບັດມັນເຂົ້າໄປໃນຄໍາຮ້ອງສະຫມັກແລະການບໍລິການຂອງເຂົາເຈົ້າ. ອີກເຄິ່ງຫນຶ່ງແມ່ນຫມັ້ນໃຈວ່າເຕັກໂນໂລຢີພຽງແຕ່ເຮັດໃຫ້ວຽກງານຂອງຜູ້ເບິ່ງແຍງລະບົບມີຄວາມຫຍຸ້ງຍາກຫຼາຍ. ຕໍ່ໄປ, ພວກເຮົາຈະວິເຄາະການໂຕ້ຖຽງຂອງທັງສອງຝ່າຍ.

DoH ເຮັດວຽກແນວໃດ

ກ່ອນທີ່ພວກເຮົາຈະເຂົ້າໃຈວ່າເປັນຫຍັງ ISP ແລະຜູ້ເຂົ້າຮ່ວມຕະຫຼາດອື່ນໆແມ່ນສໍາລັບຫຼືຕໍ່ຕ້ານ DNS ຜ່ານ HTTPS, ໃຫ້ເບິ່ງສັ້ນໆວ່າມັນເຮັດວຽກແນວໃດ.

ໃນກໍລະນີຂອງ DoH, ການຮ້ອງຂໍເພື່ອກໍານົດທີ່ຢູ່ IP ແມ່ນ encapsulated ໃນການຈະລາຈອນ HTTPS. ຫຼັງຈາກນັ້ນມັນໄປຫາເຄື່ອງແມ່ຂ່າຍ HTTP, ບ່ອນທີ່ມັນຖືກປຸງແຕ່ງໂດຍໃຊ້ API. ນີ້ແມ່ນການຮ້ອງຂໍຕົວຢ່າງຈາກ RFC 8484 (ຫນ້າ 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

ດັ່ງນັ້ນ, ການຈະລາຈອນ DNS ຖືກເຊື່ອງໄວ້ໃນການຈະລາຈອນ HTTPS. ລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍຕິດຕໍ່ສື່ສານຜ່ານພອດມາດຕະຖານ 443. ດັ່ງນັ້ນ, ການຮ້ອງຂໍຕໍ່ລະບົບຊື່ໂດເມນຍັງຄົງບໍ່ເປີດເຜີຍຊື່.

ເປັນຫຍັງລາວຈຶ່ງບໍ່ມັກ?

ຜູ້ຕໍ່ຕ້ານ DNS ຜ່ານ HTTPS ເວົ້າວ່າອະນຸສັນຍາໃຫມ່ຈະຫຼຸດຜ່ອນຄວາມປອດໄພຂອງການເຊື່ອມຕໍ່. ໂດຍ ອີງຕາມ Paul Vixie, ສະມາຊິກຂອງທີມງານພັດທະນາ DNS, ຈະເຮັດໃຫ້ມັນມີຄວາມຫຍຸ້ງຍາກຫຼາຍສໍາລັບຜູ້ບໍລິຫານລະບົບທີ່ຈະສະກັດເວັບໄຊທ໌ທີ່ເປັນອັນຕະລາຍ. ຜູ້ໃຊ້ທົ່ວໄປຈະສູນເສຍຄວາມສາມາດໃນການຕັ້ງຄ່າການຄວບຄຸມຂອງພໍ່ແມ່ທີ່ມີເງື່ອນໄຂໃນຕົວທ່ອງເວັບ.

ທັດສະນະຂອງ Paul ແມ່ນແບ່ງປັນໂດຍຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດຂອງອັງກິດ. ກົດໝາຍ​ຂອງ​ປະ​ເທດ ພັນທະ ຂັດຂວາງພວກເຂົາຈາກຊັບພະຍາກອນທີ່ມີເນື້ອຫາທີ່ຫ້າມ. ແຕ່ການສະຫນັບສະຫນູນ DoH ໃນຕົວທ່ອງເວັບເຮັດໃຫ້ວຽກງານຂອງການກັ່ນຕອງການຈະລາຈອນສັບສົນ. ນັກວິຈານກ່ຽວກັບພິທີການໃໝ່ຍັງລວມເຖິງສູນການສື່ສານຂອງລັດຖະບານໃນປະເທດອັງກິດ (GCHQ) ແລະມູນນິທິເບິ່ງອິນເຕີເນັດ (IMF), ເຊິ່ງຮັກສາການລົງທະບຽນຂອງຊັບພະຍາກອນທີ່ຖືກບລັອກ.

ໃນ blog ຂອງພວກເຮົາກ່ຽວກັບ Habre:

• ສົງຄາມກ່ຽວກັບ robocalls ໃນສະຫະລັດ - ໃຜເປັນຜູ້ຊະນະແລະເປັນຫຍັງ
• ໂທລະຄົມອັງກິດຈະຈ່າຍຄ່າຊົດເຊີຍຜູ້ຈອງສໍາລັບການຂັດຂວາງການບໍລິການ

ຜູ້ຊ່ຽວຊານສັງເກດວ່າ DNS ຜ່ານ HTTPS ສາມາດກາຍເປັນໄພຂົ່ມຂູ່ດ້ານຄວາມປອດໄພທາງອິນເຕີເນັດ. ໃນຕົ້ນເດືອນກໍລະກົດ, ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານຈາກ Netlab ຄົ້ນພົບ ເຊື້ອໄວຣັສທໍາອິດທີ່ໃຊ້ໂປໂຕຄອນໃຫມ່ເພື່ອປະຕິບັດການໂຈມຕີ DDoS - Godlua. ມັລແວໄດ້ເຂົ້າເຖິງ DoH ເພື່ອຮັບເອົາບັນທຶກຂໍ້ຄວາມ (TXT) ແລະສະກັດຄໍາສັ່ງ ແລະ URL ເຊີບເວີຄວບຄຸມ.

ການຮ້ອງຂໍ DoH ທີ່ຖືກເຂົ້າລະຫັດບໍ່ໄດ້ຖືກຮັບຮູ້ໂດຍຊອບແວຕ້ານໄວຣັສ. ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ ຢ້ານວ່າຫຼັງຈາກ Godlua malware ອື່ນໆຈະມາ, ເບິ່ງບໍ່ເຫັນກັບການຕິດຕາມ DNS passive.

ແຕ່ບໍ່ແມ່ນທຸກຄົນຕໍ່ຕ້ານມັນ

ໃນການປ້ອງກັນ DNS ຜ່ານ HTTPS ໃນ blog ລາວ ເວົ້າອອກມາ ວິສະວະກອນ APNIC Geoff Houston. ອີງຕາມພຣະອົງ, ອະນຸສັນຍາໃຫມ່ຈະເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຕໍ່ສູ້ກັບການໂຈມຕີ DNS hijacking, ເຊິ່ງບໍ່ດົນມານີ້ໄດ້ກາຍເປັນເລື່ອງປົກກະຕິເພີ່ມຂຶ້ນ. ຄວາມຈິງນີ້ ຢັ້ງຢືນ ລາຍງານເດືອນມັງກອນຈາກບໍລິສັດຄວາມປອດໄພທາງອິນເຕີເນັດ FireEye. ບໍລິສັດ IT ຂະຫນາດໃຫຍ່ຍັງໄດ້ສະຫນັບສະຫນູນການພັດທະນາຂອງໂປໂຕຄອນ.

ໃນຕອນຕົ້ນຂອງປີທີ່ຜ່ານມາ, DoH ເລີ່ມທົດສອບຢູ່ Google. ແລະຫນຶ່ງເດືອນກ່ອນຫນ້ານີ້ບໍລິສັດ ນຳ ສະ ເໜີ ສະບັບທີ່ມີຢູ່ທົ່ວໄປຂອງການບໍລິການ DoH ຂອງມັນ. ໃນ Google ຄວາມຫວັງ, ວ່າມັນຈະເພີ່ມຄວາມປອດໄພຂອງຂໍ້ມູນສ່ວນບຸກຄົນໃນເຄືອຂ່າຍແລະປ້ອງກັນການໂຈມຕີ MITM.

ຜູ້ພັດທະນາຕົວທ່ອງເວັບອື່ນ - Mozilla - ສະຫນັບສະຫນູນ DNS ຜ່ານ HTTPS ນັບຕັ້ງແຕ່ລະດູຮ້ອນທີ່ຜ່ານມາ. ໃນຂະນະດຽວກັນ, ບໍລິສັດກໍ່ຕັ້ງຫນ້າສົ່ງເສີມເຕັກໂນໂລຢີໃຫມ່ໃນສະພາບແວດລ້ອມ IT. ສໍາລັບການນີ້, ສະມາຄົມຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ (ISPA) ເຖິງແມ່ນໄດ້ຮັບການແຕ່ງຕັ້ງ Mozilla ສໍາລັບ Internet Villain ຂອງລາງວັນປີ. ໃນການຕອບສະຫນອງ, ຕົວແທນຂອງບໍລິສັດ ສັງເກດເຫັນ, ຜູ້ທີ່ມີຄວາມອຸກອັ່ງຍ້ອນຄວາມບໍ່ເຕັມໃຈຂອງຜູ້ປະຕິບັດງານໂທລະຄົມໃນການປັບປຸງພື້ນຖານໂຄງລ່າງອິນເຕີເນັດທີ່ລ້າສະໄຫມຂອງພວກເຂົາ.

/unsplash/ ເທເຣບບີນ

ໃນການສະຫນັບສະຫນູນຂອງ Mozilla ສື່​ມວນ​ຊົນ​ໃຫຍ່​ໄດ້​ກ່າວ​ອອກ​ມາ ແລະບາງຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ. ໂດຍສະເພາະ, ຢູ່ British Telecom ພິ​ຈາ​ລະ​ນາວ່າໂປໂຕຄອນໃຫມ່ຈະບໍ່ມີຜົນກະທົບຕໍ່ການກັ່ນຕອງເນື້ອຫາແລະຈະປັບປຸງຄວາມປອດໄພຂອງຜູ້ໃຊ້ UK. ພາຍໃຕ້ຄວາມກົດດັນຂອງສາທາລະນະ ISPA ຕ້ອງໄດ້ຮັບການເອີ້ນຄືນ ການແຕ່ງຕັ້ງ "ຄົນຮ້າຍ".

ຜູ້ໃຫ້ບໍລິການຄລາວຍັງໄດ້ສະຫນັບສະຫນູນການນໍາ DNS ຜ່ານ HTTPS, ຕົວຢ່າງ CloudFlare. ພວກເຂົາໃຫ້ບໍລິການ DNS ໂດຍອີງໃສ່ໂປໂຕຄອນໃຫມ່ແລ້ວ. ບັນຊີລາຍຊື່ຄົບຖ້ວນຂອງຕົວທ່ອງເວັບແລະລູກຄ້າທີ່ສະຫນັບສະຫນູນ DoH ແມ່ນມີຢູ່ GitHub.

​ເຖິງ​ຢ່າງ​ໃດ​ກໍ​ຕາມ, ຍັງ​ບໍ່​ທັນ​ສາມາດ​ເວົ້າ​ເຖິງ​ຈຸດ​ຈົບ​ຂອງ​ການ​ປະ​ທະ​ກັນ​ລະຫວ່າງ​ສອງ​ຄ້າຍ. ຜູ້ຊ່ຽວຊານດ້ານ IT ຄາດຄະເນວ່າຖ້າ DNS ຜ່ານ HTTPS ແມ່ນຈຸດຫມາຍປາຍທາງທີ່ຈະກາຍເປັນສ່ວນຫນຶ່ງຂອງ stack ເຕັກໂນໂລຊີອິນເຕີເນັດຕົ້ນຕໍ, ມັນຈະໃຊ້ເວລາ. ຫຼາຍກວ່າໜຶ່ງທົດສະວັດ.

ມີຫຍັງອີກແດ່ທີ່ພວກເຮົາຂຽນກ່ຽວກັບ blog ຂອງບໍລິສັດຂອງພວກເຮົາ:

• ວິທີການສ້າງເຄືອຂ່າຍຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ
• ບໍລິການພື້ນຖານໃນເຄືອຂ່າຍຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ
• Convergence ແລະ unification - ວຽກ​ງານ​ຫຼາຍ​ໃນ​ຫນຶ່ງ​ອຸ​ປະ​ກອນ​

ແຫຼ່ງຂໍ້ມູນ: www.habr.com