Mozilla ຍ້າຍໄປເປີດໃຊ້ DNS-over-HTTPS ໂດຍຄ່າເລີ່ມຕົ້ນໃນ Firefox

ນັກພັດທະນາ Firefox ປະ​ກາດ ກ່ຽວກັບການສໍາເລັດການທົດສອບການສະຫນັບສະຫນູນ DNS ຜ່ານ HTTPS (DoH, DNS over HTTPS) ແລະຄວາມຕັ້ງໃຈທີ່ຈະເປີດໃຊ້ເຕັກໂນໂລຢີນີ້ໂດຍຄ່າເລີ່ມຕົ້ນສໍາລັບຜູ້ໃຊ້ສະຫະລັດໃນທ້າຍເດືອນກັນຍາ. ການເປີດໃຊ້ງານຈະຖືກປະຕິບັດຢ່າງກ້າວຫນ້າ, ໃນເບື້ອງຕົ້ນສໍາລັບສອງສາມເປີເຊັນຂອງຜູ້ໃຊ້, ແລະຖ້າບໍ່ມີບັນຫາ, ຄ່ອຍໆເພີ່ມຂຶ້ນເຖິງ 100%. ເມື່ອສະຫະລັດໄດ້ຮັບການຄຸ້ມຄອງ, DoH ຈະຖືກພິຈາລະນາສໍາລັບການລວມຢູ່ໃນປະເທດອື່ນໆ.

ການທົດສອບທີ່ດໍາເນີນຕະຫຼອດປີໄດ້ສະແດງໃຫ້ເຫັນຄວາມຫນ້າເຊື່ອຖືແລະການປະຕິບັດທີ່ດີຂອງການບໍລິການ, ແລະຍັງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະກໍານົດບາງສະຖານະການທີ່ DoH ສາມາດນໍາໄປສູ່ບັນຫາແລະພັດທະນາວິທີແກ້ໄຂເພື່ອຫລີກລ້ຽງພວກມັນ (ຕົວຢ່າງເຊັ່ນ disassembled. ປະຕິເສດ ດ້ວຍການເພີ່ມປະສິດທິພາບການຈະລາຈອນໃນເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາ, ການຄວບຄຸມຂອງພໍ່ແມ່ແລະເຂດ DNS ພາຍໃນຂອງບໍລິສັດ).

ຄວາມສໍາຄັນຂອງການເຂົ້າລະຫັດການຈາລະຈອນ DNS ໄດ້ຖືກປະເມີນວ່າເປັນປັດໃຈພື້ນຖານທີ່ສໍາຄັນໃນການປົກປ້ອງຜູ້ໃຊ້, ດັ່ງນັ້ນຈຶ່ງໄດ້ຕັດສິນໃຈທີ່ຈະເປີດໃຊ້ DoH ໂດຍຄ່າເລີ່ມຕົ້ນ, ແຕ່ໃນຂັ້ນຕອນທໍາອິດເທົ່ານັ້ນສໍາລັບຜູ້ໃຊ້ຈາກສະຫະລັດ. ຫຼັງຈາກການເປີດໃຊ້ DoH, ຜູ້ໃຊ້ຈະໄດ້ຮັບຄໍາເຕືອນທີ່ຈະອະນຸຍາດໃຫ້, ຖ້າຕ້ອງການ, ປະຕິເສດທີ່ຈະຕິດຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຂອງ DoH DNS ທີ່ເປັນສູນກາງແລະກັບຄືນໄປຫາໂຄງການແບບດັ້ງເດີມຂອງການສົ່ງຄໍາຮ້ອງຂໍທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດກັບເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໃຫ້ບໍລິການ (ແທນທີ່ຈະເປັນໂຄງສ້າງພື້ນຖານທີ່ແຈກຢາຍຂອງຕົວແກ້ໄຂ DNS, DoH ໃຊ້ການຜູກມັດກັບການບໍລິການ DoH ສະເພາະ, ເຊິ່ງສາມາດຖືວ່າເປັນຈຸດດຽວຂອງຄວາມລົ້ມເຫຼວ).

ຖ້າ DoH ຖືກເປີດໃຊ້, ລະບົບການຄວບຄຸມຂອງພໍ່ແມ່ແລະເຄືອຂ່າຍຂອງບໍລິສັດທີ່ໃຊ້ໂຄງສ້າງຊື່ DNS ພາຍໃນເຄືອຂ່າຍເທົ່ານັ້ນເພື່ອແກ້ໄຂທີ່ຢູ່ intranet ແລະໂຮດຂອງບໍລິສັດອາດຈະຖືກລົບກວນ. ເພື່ອແກ້ໄຂບັນຫາກັບລະບົບດັ່ງກ່າວ, ລະບົບການກວດສອບໄດ້ຖືກເພີ່ມທີ່ປິດການໃຊ້ງານ DoH ໂດຍອັດຕະໂນມັດ. ການກວດສອບຖືກປະຕິບັດໃນແຕ່ລະຄັ້ງທີ່ບຣາວເຊີຖືກເປີດໃຊ້ ຫຼືເມື່ອມີການກວດພົບການປ່ຽນແປງຂອງເຄືອຂ່າຍຍ່ອຍ.

ການກັບຄືນອັດຕະໂນມັດໃນການນໍາໃຊ້ຕົວແກ້ໄຂລະບົບປະຕິບັດການມາດຕະຖານແມ່ນຍັງສະຫນອງໃຫ້ຖ້າຄວາມລົ້ມເຫລວເກີດຂື້ນໃນລະຫວ່າງການແກ້ໄຂຜ່ານ DoH (ຕົວຢ່າງ, ຖ້າຄວາມພ້ອມຂອງເຄືອຂ່າຍກັບຜູ້ໃຫ້ບໍລິການ DoH ຖືກລົບກວນຫຼືຄວາມລົ້ມເຫລວເກີດຂື້ນໃນໂຄງສ້າງພື້ນຖານຂອງມັນ). ຄວາມຫມາຍຂອງການກວດສອບດັ່ງກ່າວແມ່ນມີຄໍາຖາມ, ເພາະວ່າບໍ່ມີໃຜປ້ອງກັນຜູ້ໂຈມຕີທີ່ຄວບຄຸມການດໍາເນີນງານຂອງຜູ້ແກ້ໄຂຫຼືມີຄວາມສາມາດແຊກແຊງການຈະລາຈອນຈາກການຈໍາລອງພຶດຕິກໍາທີ່ຄ້າຍຄືກັນເພື່ອປິດການເຂົ້າລະຫັດຂອງການຈະລາຈອນ DNS. ບັນຫາໄດ້ຖືກແກ້ໄຂໂດຍການເພີ່ມລາຍການ "DoH ສະເຫມີ" ໃນການຕັ້ງຄ່າ (ຢ່າງງຽບໆ), ເມື່ອຕັ້ງຄ່າ, ການປິດອັດຕະໂນມັດບໍ່ໄດ້ຖືກນໍາໃຊ້, ເຊິ່ງເປັນການປະນີປະນອມທີ່ສົມເຫດສົມຜົນ.

ເພື່ອກໍານົດຕົວແກ້ໄຂວິສາຫະກິດ, ໂດເມນລະດັບທໍາອິດ atypical (TLDs) ຖືກກວດສອບແລະຕົວແກ້ໄຂລະບົບຈະສົ່ງຄືນທີ່ຢູ່ intranet. ເພື່ອກໍານົດວ່າການຄວບຄຸມຂອງພໍ່ແມ່ຖືກເປີດໃຊ້, ພະຍາຍາມແກ້ໄຂຊື່ exampleadultsite.com ແລະຖ້າຜົນໄດ້ຮັບບໍ່ກົງກັບ IP ຕົວຈິງ, ມັນຖືກພິຈາລະນາວ່າການສະກັດເນື້ອຫາຂອງຜູ້ໃຫຍ່ແມ່ນເຮັດວຽກຢູ່ໃນລະດັບ DNS. ທີ່ຢູ່ IP ຂອງ Google ແລະ YouTube ຍັງຖືກກວດເບິ່ງເປັນສັນຍານເພື່ອເບິ່ງວ່າພວກມັນໄດ້ຖືກປ່ຽນແທນໂດຍ restrict.youtube.com, forceafesearch.google.com ແລະ restrictmoderate.youtube.com. Mozilla ເພີ່ມເຕີມ ຂໍ້ສະ ເໜີ ປະຕິບັດເປັນເຈົ້າພາບການທົດສອບດຽວ use-application-dns.net, ເຊິ່ງ ISPs ແລະບໍລິການຄວບຄຸມຂອງພໍ່ແມ່ສາມາດໃຊ້ເປັນທຸງເພື່ອປິດການໃຊ້ງານ DoH (ຖ້າ host ບໍ່ຖືກກວດພົບ, Firefox ປິດການໃຊ້ງານ DoH).

ການເຮັດວຽກໂດຍຜ່ານການບໍລິການ DoH ດຽວຍັງສາມາດເຮັດໃຫ້ເກີດບັນຫາກັບການເພີ່ມປະສິດທິພາບການຈະລາຈອນໃນເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາທີ່ດຸ່ນດ່ຽງການຈະລາຈອນໂດຍໃຊ້ DNS (ເຄື່ອງແມ່ຂ່າຍ DNS ຂອງເຄືອຂ່າຍ CDN ສ້າງການຕອບສະຫນອງໂດຍຄໍານຶງເຖິງທີ່ຢູ່ຂອງຜູ້ແກ້ໄຂແລະໃຫ້ເຈົ້າພາບທີ່ໃກ້ຊິດທີ່ສຸດທີ່ຈະໄດ້ຮັບເນື້ອຫາ). ການສົ່ງຄໍາຖາມ DNS ຈາກຕົວແກ້ໄຂທີ່ໃກ້ຊິດກັບຜູ້ໃຊ້ໃນ CDNs ດັ່ງກ່າວສົ່ງຜົນໃຫ້ກັບຄືນທີ່ຢູ່ຂອງເຈົ້າພາບທີ່ໃກ້ຄຽງກັບຜູ້ໃຊ້ທີ່ສຸດ, ແຕ່ການສົ່ງຄໍາຖາມ DNS ຈາກຕົວແກ້ໄຂສູນກາງຈະສົ່ງຄືນທີ່ຢູ່ໂຮດທີ່ໃກ້ຄຽງກັບເຄື່ອງແມ່ຂ່າຍ DNS-over-HTTPS. . ການທົດສອບໃນການປະຕິບັດໄດ້ສະແດງໃຫ້ເຫັນວ່າການນໍາໃຊ້ DNS-over-HTTP ໃນເວລາທີ່ການນໍາໃຊ້ CDN ນໍາໄປສູ່ການເກືອບບໍ່ມີການຊັກຊ້າກ່ອນທີ່ຈະເລີ່ມຕົ້ນຂອງການໂອນເນື້ອຫາ (ສໍາລັບການເຊື່ອມຕໍ່ໄວ, ຄວາມລ່າຊ້າບໍ່ເກີນ 10 milliseconds, ແລະເຖິງແມ່ນວ່າການປະຕິບັດໄວແມ່ນສັງເກດເຫັນຢູ່ໃນຊ່ອງທາງການສື່ສານຊ້າ. ). ການນໍາໃຊ້ສ່ວນຂະຫຍາຍ EDNS Client Subnet ຍັງຖືກພິຈາລະນາໃຫ້ຂໍ້ມູນສະຖານທີ່ລູກຄ້າໃຫ້ກັບຕົວແກ້ໄຂ CDN.

ໃຫ້ພວກເຮົາຈື່ວ່າ DoH ສາມາດເປັນປະໂຫຍດສໍາລັບການປ້ອງກັນການຮົ່ວໄຫລຂອງຂໍ້ມູນກ່ຽວກັບຊື່ໂຮດທີ່ຮ້ອງຂໍຜ່ານເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໃຫ້ບໍລິການ, ຕ້ານການໂຈມຕີ MITM ແລະການຫຼອກລວງຂອງການຈະລາຈອນ DNS, ຕ້ານການຂັດຂວາງໃນລະດັບ DNS, ຫຼືສໍາລັບການຈັດຕັ້ງການເຮັດວຽກໃນກໍລະນີທີ່ມັນ. ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍ DNS ໂດຍກົງ (ຕົວຢ່າງ, ເມື່ອເຮັດວຽກຜ່ານຕົວແທນ). ຖ້າໃນສະຖານະການປົກກະຕິການຮ້ອງຂໍ DNS ຖືກສົ່ງໂດຍກົງໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ກໍານົດໄວ້ໃນການຕັ້ງຄ່າລະບົບ, ຫຼັງຈາກນັ້ນໃນກໍລະນີຂອງ DoH, ການຮ້ອງຂໍເພື່ອກໍານົດທີ່ຢູ່ IP ຂອງເຈົ້າພາບແມ່ນ encapsulated ໃນການຈະລາຈອນ HTTPS ແລະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ HTTP, ບ່ອນທີ່ຕົວແກ້ໄຂດໍາເນີນການ. ການຮ້ອງຂໍຜ່ານ Web API. ມາດຕະຖານ DNSSEC ທີ່ມີຢູ່ແລ້ວໃຊ້ການເຂົ້າລະຫັດພຽງແຕ່ເພື່ອພິສູດຢືນຢັນລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ, ແຕ່ບໍ່ໄດ້ປົກປ້ອງການຈະລາຈອນຈາກການຂັດຂວາງແລະບໍ່ຮັບປະກັນຄວາມລັບຂອງຄໍາຮ້ອງຂໍ.

ເພື່ອເປີດໃຊ້ DoH ໃນ about:config, ທ່ານຕ້ອງປ່ຽນຄ່າຂອງຕົວແປ network.trr.mode, ເຊິ່ງໄດ້ຮັບການສະຫນັບສະຫນູນຕັ້ງແຕ່ Firefox 60. ຄ່າຂອງ 0 ປິດການໃຊ້ງານ DoH ຢ່າງສົມບູນ; 1 - DNS ຫຼື DoH ຖືກໃຊ້, ອັນໃດຈະໄວກວ່າ; 2 - DoH ຖືກນໍາໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ, ແລະ DNS ຖືກນໍາໃຊ້ເປັນທາງເລືອກທີ່ຫຼຸດລົງ; 3 - ພຽງແຕ່ DoH ຖືກນໍາໃຊ້; 4 - ຮູບແບບການສະທ້ອນທີ່ DoH ແລະ DNS ຖືກນໍາໃຊ້ໃນຂະຫນານ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ເຊີບເວີ CloudFlare DNS ຖືກໃຊ້, ແຕ່ມັນສາມາດປ່ຽນແປງໄດ້ຜ່ານພາຣາມິເຕີ network.trr.uri, ຕົວຢ່າງ, ທ່ານສາມາດຕັ້ງ “https://dns.google.com/experimental” ຫຼື “https://9.9.9.9. .XNUMX/dns-query "

ແຫຼ່ງຂໍ້ມູນ: opennet.ru