DNS-over-HTTPS ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນໃນ Firefox ສໍາລັບຜູ້ໃຊ້ສະຫະລັດ

ນັກພັດທະນາ Firefox ປະ​ກາດ ກ່ຽວກັບການເປີດໃຊ້ DNS ຜ່ານ HTTPS (DoH, DNS over HTTPS) ໂໝດ ໂດຍຄ່າເລີ່ມຕົ້ນສໍາລັບຜູ້ໃຊ້ສະຫະລັດ. ການເຂົ້າລະຫັດການຈາລະຈອນ DNS ແມ່ນຖືວ່າເປັນປັດໃຈສໍາຄັນພື້ນຖານໃນການປົກປ້ອງຜູ້ໃຊ້. ເລີ່ມຕົ້ນໃນມື້ນີ້, ການຕິດຕັ້ງໃຫມ່ທັງຫມົດໂດຍຜູ້ໃຊ້ສະຫະລັດຈະເປີດໃຊ້ DoH ໂດຍຄ່າເລີ່ມຕົ້ນ. ຜູ້ໃຊ້ສະຫະລັດທີ່ມີຢູ່ແມ່ນຖືກກໍານົດໃຫ້ປ່ຽນເປັນ DoH ພາຍໃນສອງສາມອາທິດ. ໃນສະຫະພາບເອີຣົບແລະປະເທດອື່ນໆ, ເປີດໃຊ້ DoH ໂດຍຄ່າເລີ່ມຕົ້ນໃນປັດຈຸບັນ ບໍ່ວາງແຜນ.

ຫຼັງຈາກການເປີດໃຊ້ DoH, ການເຕືອນໄພຈະສະແດງໃຫ້ຜູ້ໃຊ້, ເຊິ່ງອະນຸຍາດໃຫ້, ຖ້າຕ້ອງການ, ປະຕິເສດທີ່ຈະຕິດຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຂອງ DoH DNS ສູນກາງແລະກັບຄືນໄປຫາໂຄງການແບບດັ້ງເດີມຂອງການສົ່ງຄໍາຖາມທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໃຫ້ບໍລິການ. ແທນທີ່ຈະເປັນໂຄງສ້າງພື້ນຖານທີ່ແຈກຢາຍຂອງຕົວແກ້ໄຂ DNS, DoH ໃຊ້ການຜູກມັດກັບການບໍລິການ DoH ສະເພາະ, ເຊິ່ງສາມາດຖືວ່າເປັນຈຸດດຽວຂອງຄວາມລົ້ມເຫຼວ. ໃນປັດຈຸບັນ, ການເຮັດວຽກໄດ້ຖືກສະເຫນີຜ່ານສອງຜູ້ໃຫ້ບໍລິການ DNS - CloudFlare (ຄ່າເລີ່ມຕົ້ນ) ແລະ ຕໍ່ໄປ DNS.

ປ່ຽນຜູ້ໃຫ້ບໍລິການ ຫຼືປິດການໃຊ້ງານ DoH ສາມາດເຮັດໄດ້ ໃນ​ການ​ຕັ້ງ​ຄ່າ​ການ​ເຊື່ອມ​ຕໍ່​ເຄືອ​ຂ່າຍ​. ຕົວຢ່າງ, ທ່ານສາມາດລະບຸເຊີບເວີ DoH ທາງເລືອກ “https://dns.google/dns-query” ເພື່ອເຂົ້າເຖິງເຊີບເວີຂອງ Google, “https://dns.quad9.net/dns-query” - Quad9 ແລະ “https:/ /doh .opendns.com/dns-query" - OpenDNS. ກ່ຽວກັບ:config ຍັງສະຫນອງການຕັ້ງຄ່າ network.trr.mode, ໂດຍຜ່ານທີ່ທ່ານສາມາດປ່ຽນໂຫມດປະຕິບັດການ DoH: ຄ່າຂອງ 0 ປິດການໃຊ້ງານ DoH ຢ່າງສົມບູນ; 1 - DNS ຫຼື DoH ຖືກໃຊ້, ອັນໃດຈະໄວກວ່າ; 2 - DoH ຖືກນໍາໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ, ແລະ DNS ຖືກນໍາໃຊ້ເປັນທາງເລືອກ fallback; 3 - ພຽງແຕ່ DoH ຖືກນໍາໃຊ້; 4 - ຮູບແບບການສະທ້ອນທີ່ DoH ແລະ DNS ຖືກນໍາໃຊ້ໃນຂະຫນານ.

ໃຫ້ພວກເຮົາຈື່ວ່າ DoH ສາມາດເປັນປະໂຫຍດສໍາລັບການປ້ອງກັນການຮົ່ວໄຫລຂອງຂໍ້ມູນກ່ຽວກັບຊື່ໂຮດທີ່ຮ້ອງຂໍຜ່ານເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໃຫ້ບໍລິການ, ຕ້ານການໂຈມຕີ MITM ແລະການຫຼອກລວງການຈາລະຈອນ DNS (ຕົວຢ່າງ, ເມື່ອເຊື່ອມຕໍ່ກັບ Wi-Fi ສາທາລະນະ), ຕ້ານການຂັດຂວາງ DNS. ລະດັບ (DoH ບໍ່ສາມາດທົດແທນ VPN ໃນພື້ນທີ່ຂອງ bypassing blocking ປະຕິບັດຢູ່ໃນລະດັບ DPI) ຫຼືສໍາລັບການຈັດຕັ້ງການເຮັດວຽກຖ້າຫາກວ່າມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍ DNS ໂດຍກົງ (ຕົວຢ່າງເຊັ່ນ, ໃນເວລາທີ່ເຮັດວຽກໂດຍຜ່ານຕົວແທນ). ຖ້າໃນສະຖານະການປົກກະຕິການຮ້ອງຂໍ DNS ຖືກສົ່ງໂດຍກົງໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ກໍານົດໄວ້ໃນການຕັ້ງຄ່າລະບົບ, ຫຼັງຈາກນັ້ນໃນກໍລະນີຂອງ DoH, ການຮ້ອງຂໍເພື່ອກໍານົດທີ່ຢູ່ IP ຂອງເຈົ້າພາບແມ່ນ encapsulated ໃນການຈະລາຈອນ HTTPS ແລະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ HTTP, ບ່ອນທີ່ຕົວແກ້ໄຂດໍາເນີນການ. ການຮ້ອງຂໍຜ່ານ Web API. ມາດຕະຖານ DNSSEC ທີ່ມີຢູ່ແລ້ວໃຊ້ການເຂົ້າລະຫັດພຽງແຕ່ເພື່ອພິສູດຢືນຢັນລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ, ແຕ່ບໍ່ໄດ້ປົກປ້ອງການຈະລາຈອນຈາກການຂັດຂວາງແລະບໍ່ຮັບປະກັນຄວາມລັບຂອງຄໍາຮ້ອງຂໍ.

ເພື່ອເລືອກຜູ້ໃຫ້ບໍລິການ DoH ທີ່ສະເໜີໃຫ້ຢູ່ໃນ Firefox, ຄວາມຕ້ອງການ ຕໍ່ກັບຜູ້ແກ້ໄຂ DNS ທີ່ເຊື່ອຖືໄດ້, ອີງຕາມການທີ່ຜູ້ປະຕິບັດການ DNS ສາມາດນໍາໃຊ້ຂໍ້ມູນທີ່ໄດ້ຮັບສໍາລັບການແກ້ໄຂພຽງແຕ່ເພື່ອຮັບປະກັນການດໍາເນີນງານຂອງການບໍລິການ, ບໍ່ຕ້ອງເກັບຮັກສາບັນທຶກສໍາລັບການຫຼາຍກ່ວາ 24 ຊົ່ວໂມງ, ບໍ່ສາມາດໂອນຂໍ້ມູນໃຫ້ພາກສ່ວນທີສາມແລະພັນທະທີ່ຈະເປີດເຜີຍຂໍ້ມູນກ່ຽວກັບ. ວິທີການປະມວນຜົນຂໍ້ມູນ. ການບໍລິການຍັງຕ້ອງຕົກລົງທີ່ຈະບໍ່ censor, ການກັ່ນຕອງ, ແຊກແຊງຫຼືຕັນການຈະລາຈອນ DNS, ຍົກເວັ້ນໃນສະຖານະການທີ່ກົດຫມາຍ.

DoH ຄວນຖືກນໍາໃຊ້ຢ່າງລະມັດລະວັງ. ສໍາລັບຕົວຢ່າງ, ໃນສະຫະພັນລັດເຊຍ, ທີ່ຢູ່ IP 104.16.248.249 ແລະ 104.16.249.249 ທີ່ກ່ຽວຂ້ອງກັບເຄື່ອງແມ່ຂ່າຍ DoH ເລີ່ມຕົ້ນ mozilla.cloudflare-dns.com ທີ່ສະເຫນີໃນ Firefox, ລາຍຊື່ в ລາຍການ ການຂັດຂວາງ Roskomnadzor ຕາມການຮ້ອງຂໍຂອງສານ Stavropol ລົງວັນທີ 10.06.2013 ເດືອນມິຖຸນາ XNUMX.

DoH ຍັງສາມາດເຮັດໃຫ້ເກີດບັນຫາໃນຂົງເຂດຕ່າງໆເຊັ່ນ: ລະບົບການຄວບຄຸມຂອງພໍ່ແມ່, ການເຂົ້າເຖິງ namespaces ພາຍໃນໃນລະບົບບໍລິສັດ, ການເລືອກເສັ້ນທາງໃນລະບົບການເພີ່ມປະສິດທິພາບການຈັດສົ່ງເນື້ອຫາ, ແລະການປະຕິບັດຕາມຄໍາສັ່ງຂອງສານໃນຂົງເຂດການຕ້ານການແຈກຢາຍເນື້ອຫາທີ່ຜິດກົດຫມາຍແລະການຂູດຮີດ. ເຍົາວະຊົນ. ເພື່ອຫລີກລ້ຽງບັນຫາດັ່ງກ່າວ, ລະບົບການກວດສອບໄດ້ຖືກປະຕິບັດແລະທົດສອບທີ່ປິດການໃຊ້ງານ DoH ໂດຍອັດຕະໂນມັດພາຍໃຕ້ເງື່ອນໄຂບາງຢ່າງ.

ເພື່ອກໍານົດຕົວແກ້ໄຂວິສາຫະກິດ, ໂດເມນລະດັບທໍາອິດ atypical (TLDs) ຖືກກວດສອບແລະຕົວແກ້ໄຂລະບົບຈະສົ່ງຄືນທີ່ຢູ່ intranet. ເພື່ອກໍານົດວ່າການຄວບຄຸມຂອງພໍ່ແມ່ຖືກເປີດໃຊ້, ພະຍາຍາມແກ້ໄຂຊື່ exampleadultsite.com ແລະຖ້າຜົນໄດ້ຮັບບໍ່ກົງກັບ IP ຕົວຈິງ, ມັນຖືກພິຈາລະນາວ່າການສະກັດເນື້ອຫາຂອງຜູ້ໃຫຍ່ແມ່ນເຮັດວຽກຢູ່ໃນລະດັບ DNS. ທີ່ຢູ່ IP ຂອງ Google ແລະ YouTube ຍັງຖືກກວດເບິ່ງເປັນສັນຍານເພື່ອເບິ່ງວ່າພວກມັນໄດ້ຖືກປ່ຽນແທນໂດຍ restrict.youtube.com, forceafesearch.google.com ແລະ restrictmoderate.youtube.com. ການກວດສອບເຫຼົ່ານີ້ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີທີ່ຄວບຄຸມການດໍາເນີນງານຂອງຕົວແກ້ໄຂຫຼືມີຄວາມສາມາດແຊກແຊງການຈະລາຈອນເພື່ອຈໍາລອງພຶດຕິກໍາດັ່ງກ່າວເພື່ອປິດການເຂົ້າລະຫັດຂອງການຈະລາຈອນ DNS.

ການເຮັດວຽກໂດຍຜ່ານການບໍລິການ DoH ດຽວຍັງສາມາດເຮັດໃຫ້ເກີດບັນຫາກັບການເພີ່ມປະສິດທິພາບການຈະລາຈອນໃນເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາທີ່ດຸ່ນດ່ຽງການຈະລາຈອນໂດຍໃຊ້ DNS (ເຄື່ອງແມ່ຂ່າຍ DNS ຂອງເຄືອຂ່າຍ CDN ສ້າງການຕອບສະຫນອງໂດຍຄໍານຶງເຖິງທີ່ຢູ່ຂອງຜູ້ແກ້ໄຂແລະໃຫ້ເຈົ້າພາບທີ່ໃກ້ຊິດທີ່ສຸດທີ່ຈະໄດ້ຮັບເນື້ອຫາ). ການສົ່ງຄໍາຖາມ DNS ຈາກຕົວແກ້ໄຂທີ່ໃກ້ຊິດກັບຜູ້ໃຊ້ໃນ CDNs ດັ່ງກ່າວສົ່ງຜົນໃຫ້ກັບຄືນທີ່ຢູ່ຂອງເຈົ້າພາບທີ່ໃກ້ຄຽງກັບຜູ້ໃຊ້ທີ່ສຸດ, ແຕ່ການສົ່ງຄໍາຖາມ DNS ຈາກຕົວແກ້ໄຂສູນກາງຈະສົ່ງຄືນທີ່ຢູ່ໂຮດທີ່ໃກ້ຄຽງກັບເຄື່ອງແມ່ຂ່າຍ DNS-over-HTTPS. . ການທົດສອບໃນການປະຕິບັດໄດ້ສະແດງໃຫ້ເຫັນວ່າການນໍາໃຊ້ DNS-over-HTTP ໃນເວລາທີ່ການນໍາໃຊ້ CDN ນໍາໄປສູ່ການເກືອບບໍ່ມີການຊັກຊ້າກ່ອນທີ່ຈະເລີ່ມຕົ້ນຂອງການໂອນເນື້ອຫາ (ສໍາລັບການເຊື່ອມຕໍ່ໄວ, ຄວາມລ່າຊ້າບໍ່ເກີນ 10 milliseconds, ແລະເຖິງແມ່ນວ່າການປະຕິບັດໄວແມ່ນສັງເກດເຫັນຢູ່ໃນຊ່ອງທາງການສື່ສານຊ້າ. ). ການນໍາໃຊ້ສ່ວນຂະຫຍາຍ EDNS Client Subnet ຍັງຖືກພິຈາລະນາໃຫ້ຂໍ້ມູນສະຖານທີ່ລູກຄ້າໃຫ້ກັບຕົວແກ້ໄຂ CDN.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru