Firefox tiks veikts eksperimenta saistībā ar DNS-over-HTTPS

Mozilla Developers ziņoja par jauno izpēti saistībā ar DNS pār HTTPS (DoH, DNS over HTTPS) funkcionalitātes ieviešanu. Eksperimenta ietvaros tiks vākti dati no dažiem ASV Firefox izlaidumu lietotājiem par vecāku kontroli un korporatīvu rezolvētāju izmantošanu. Ja vēlaties atteikties no dalības eksperimentā, to var izdarīt lapā 'about:studies' (pētījums ir sarakstā ar nosaukumu 'Detection Logic for DNS-over-HTTPS').

Izpētes laikā tiks vākti anonimie dati, kas ietver tikai skaitītājus, bez konkrētu adresātu un domēnu norādīšanas. Lai atklātu vecāku kontroles sistēmas, tiks nosūtīts pieprasījums uz nosaukumu exampleadultsite.com, un, ja tas nesakritīs ar faktisko IP adresi, tas norādīs, ka pieaugušā satura bloķēšana darbojas DNS līmenī. Tiks vērtēti arī IP adreses dati, kas tiek atgriezti Google un YouTube, lai pārbaudītu to aizvietošanu ar restrict.youtube.com, forcesafesearch.google.com un restrictmoderate.youtube.com.

Lai identificētu iekšējo korporatīvo rezolvētāju izmantošanu, izveidotie saimniekdomēni atverot vietnes tiks pārbaudīti uz neparastiem augstākā līmeņa domēniem (TLD) un intraneta adresēm. Eksperimenta mērķis ir noskaidrot, vai pēc noklusējuma DNS-over-HTTPS aktivēšana varētu traucēt darbību esošajām DNS vecāku kontroles sistēmām, kā arī radīt problēmas korporatīvo tīklu lietotājiem, kuri izmanto DNS serverus, kas sniedz informāciju par iekšējiem domēniem, kuri nav redzami ārējā tīklā.

Atgādinām, ka DoH var būt noderīgs, lai novērstu informācijas noplūdi par pieprasītajiem viesu vārdiem caur pakalpojumu sniedzēju DNS serveriem, cīnītos pret MITM uzbrukumiem un DNS trafika viltošanu, pretotos bloķēšanai DNS līmenī vai organizētu darbību gadījumā, ja nav iespējams tieši piekļūt DNS serveriem (piemēram, strādājot caur proksi). Ja parastā situācijā DNS pieprasījumi tiek nosūtīti tieši noteiktiem DNS serveriem atbilstoši sistēmas konfigurācijai, tad DoH gadījumā pieprasījums pēc IP adreses ir ietverts HTTPS trafika ietvaros un nosūtīts uz HTTP serveri, kur rezolvers apstrādā pieprasījumus caur Web API. Esošais standarts DNSSEC izmanto šifrēšanu tikai klienta un servera autentifikācijai, bet nepasargā trafiku no pārtveršanas un negarantē pieprasījumu konfidencialitāti.

Lai aktivizētu DoH, about:config jāmaina mainīgā network.trr.mode vērtība, kas tiek atbalstīta kopš Firefox 60. Vērtība 0 pilnībā atslēdz DoH; 1 - tiek izmantots DNS vai DoH, atkarībā no tā, kas ir ātrāk; 2 - pēc noklusējuma tiek izmantots DoH, un DNS tiek izmantojams kā rezerves variants; 3 - tiek izmantots tikai DoH; 4 - spoguļa režīms, kurā DoH un DNS tiek izmantoti paralēli. Noklusējuma DNS serveris ir CloudFlare, bet to var mainīt, izmantojot parametrus network.trr.uri, piemēram, varat iestatīt "https://dns.google.com/experimental" vai "https://9.9.9.9/dns-query".

Avots: opennet.lv