„Mozilla“ pristato trečiąjį DNS per HTTPS teikėją, skirtą „Firefox“.

„Mozilla“ kompanija padarė išvadą соглашение с третьим провайдеров DNS поверх HTTPS (DoH, DNS over HTTPS) для Firefox. Помимо ранее предлагавшихся DNS-серверов CloudFlare («https://1.1.1.1/dns-query») и „NextDNS“ (https://dns.nextdns.io/id), в настройки также будет включён сервис Comcast (https://doh.xfinity.com/dns-query). Активировать DoH и выбрать teikėjas vienas gali tinklo ryšio nustatymuose.

Напомним, что в Firefox 77 была включена тестовая проверка DNS over HTTPS с отправкой 10 пробных запросов каждым клиентом и автоматическим выбором провайдера DoH. Данную проверку пришлось отключить в выпуске 77.0.1, так как она превратилось в подобие DDoS-атаки на сервис NextDNS, который не справился с нагрузкой.

Предлагаемые в Firefox провайдеры DoH отбираются в соответствии с reikalavimus patikimiems DNS sprendėjams, pagal kuriuos DNS operatorius sprendimui gautus duomenis gali panaudoti tik paslaugos veikimui užtikrinti, žurnalų saugoti ne ilgiau kaip 24 valandas, negali perduoti duomenų tretiesiems asmenims ir privalo atskleisti informaciją apie duomenų apdorojimo metodai. Paslauga taip pat turi sutikti necenzūruoti, nefiltruoti, netrukdyti ir neblokuoti DNS srauto, išskyrus įstatymų numatytas situacijas.

Из связанных с DNS-over-HTTPS событий также можно отметить sprendimas компании Apple реализовать поддержку DNS-over-HTTPS и DNS-over-TLS в будущих выпусках iOS 14 и macOS 11, а также pridėti поддержку дополнений в формате WebExtension в Safari.

Prisiminkime, kad DoH gali būti naudinga siekiant užkirsti kelią informacijos nutekėjimui apie prašomus pagrindinio kompiuterio pavadinimus per teikėjų DNS serverius, kovojant su MITM atakomis ir DNS srauto klastojimu (pavyzdžiui, prisijungiant prie viešojo Wi-Fi), kovojant su blokavimu DNS. lygiu (DoH negali pakeisti VPN DPI lygiu įdiegto blokavimo apėjimo srityje) arba darbo organizavimui, jei neįmanoma tiesiogiai pasiekti DNS serverių (pavyzdžiui, dirbant per tarpinį serverį). Jei įprastoje situacijoje DNS užklausos yra tiesiogiai siunčiamos į sistemos konfigūracijoje nurodytus DNS serverius, tai DoH atveju užklausa nustatyti pagrindinio kompiuterio IP adresą yra inkapsuliuojama į HTTPS srautą ir siunčiama į HTTP serverį, kur sprendiklis apdoroja. užklausų per žiniatinklio API. Esamas DNSSEC standartas naudoja šifravimą tik kliento ir serverio autentifikavimui, tačiau neapsaugo srauto nuo perėmimo ir negarantuoja užklausų konfidencialumo.

Šaltinis: opennet.ru