Mozilla pāriet uz DNS-over-HTTPS noklusējuma ieslēgšanu Firefox

Firefox izstrādātāji paziņojuši par DNS atbalsta testēšanas pabeigšanu virs HTTPS (DoH, DNS over HTTPS) un nodomu beigās septembrī iekļaut šo tehnoloģiju noklusējumā ASV lietotājiem. Ieslēgšana notiks pakāpeniski, sākot ar dažiem procentiem lietotāju, un, ja problēmu nebūs, pakāpeniski palielinot līdz 100%. Pēc ASV aptveres tiks izskatīta iespēja DoH ieslēgt arī citās valstīs.

Gada laikā veiktais testēšana parādīja pakalpojuma uzticamību un labu veiktspēju, kā arī ļāva identificēt dažas situācijas, kad DoH var radīt problēmas, un izstrādāt risinājumus to apietšanai (piemēram, apskatīti issues ar satiksmes optimizāciju saturu piegādes tīklos, vecāku kontroles un korporatīvajām iekšējām DNS zonām).

DNS satiksmes šifrēšanas nozīmi novērtē kā principā svarīgu faktoru lietotāju aizsardzībā, tāpēc DoH nolēma ieslēgt noklusējuma režīmā, bet pirmajā posmā tikai ASV lietotājiem. Pēc DoH aktivizēšanas lietotājam tiks parādīts brīdinājums, kas ļaus, ja vēlēsies, atteikties no saziņas ar centralizētajiem DoH DNS serveriem un atgriezties pie tradicionālā nešifrēto pieprasījumu sūtīšanas uz sniedzēja DNS serveri (pretstatā izplatītajai DNS rezolūtoru infrastruktūrai, DoH izmanto piesaisti konkrētam DoH pakalpojumam, kas var tikt uzskatīts par vienotu kļūmes punktu).

Aktivizējot DoH, var rasties problēmas ar vecāku kontroles sistēmām un korporatīvajām tīklam, kas izmanto tikai iekšējai tīklam pieejamu DNS nosaukumu struktūru intraneta adresu un korporatīvo hostu pārvēršanai. Lai risinātu problēmas ar šādām sistēmām, ir pievienota pārbaudes sistēma, kas automātiski atspējo DoH. Pārbaudes tiek veiktas katru reizi, kad pārlūkprogramma tiek palaista vai nosakot apakštīkla izmaiņas.

Automaatisks pāreja uz operētājsistēmas noklusējuma resolvera izmantošanu ir paredzēta arī gadījumos, kad rodas pārtraukumi DoH rezolūcijā (piemēram, ja rodas problēmas ar tīkla pieejamību, izmantojot DoH pakalpojumu sniedzēju, vai ja notiek traucējumi viņu infrastruktūrā). Šādu pārbaudu jēga ir apšaubāma, jo nav nekā, kas traucētu uzbrucējiem, kuri kontrolē resolveri vai var iejaukties satiksmē, simulēt līdzīgu uzvedību, lai izslēgtu DNS satiksmes šifrēšanu. Problēma ir atrisināta, pievienojot iestatījumiem punktu „DoH vienmēr” (noklusējuma stāvoklī nav aktīvs), šī iestatījuma aktivizēšana novērš automātisku izslēgšanu, kas ir saprātīgs kompromiss.

Lai noteiktu korporatīvos resolverus, tiek veikta netipisku augstāko domēnu (TLD) pārbaude un tiek atgriezti intraneta adrešu rezultāti no sistēmas resolvera. Lai noteiktu vecāku kontroles aktivizāciju, tiek mēģināts rezolvēt nosaukumu exampleadultsite.com un, ja rezultāts nesakrīt ar faktisko IP adresi, tas tiek uzskatīts par pieaugušo satura blokēšanas aktivizāciju DNS līmenī. Kā rādītāji arī tiek pārbaudītas Google un YouTube IP adreses, lai noskaidrotu, vai tās nav nomainītas uz restrict.youtube.com, forcesafesearch.google.com un restrictmoderate.youtube.com. Papildus Mozilla piedāvā ieviešot vienotu pārbaudes hostu use-application-dns.net, ko var izmantot interneta pakalpojumu sniedzēji un vecāku kontroles pakalpojumi kā marķējumu DoH deaktivizēšanai (ja hosts netiek noteikts, Firefox izslēdz DoH).

Darbs caur vienu DoH pakalpojumu potenciāli var radīt problēmas ar satura piegādes tīklu plūsmas optimizāciju, kas veic plūsmas balansēšanu, izmantojot DNS (CDN tīkla DNS serveris veido atbildi, ņemot vērā rezolvēšanas adresi un nodrošina tuvāko hostu satura saņemšanai). DNS pieprasījuma nosūtīšana no tuvākā rezolvēšanas servera lietotājam tādos CDN nodrošina tuvākā hosta adreses atgriešanu, bet, nosūtot DNS pieprasījumu no centralizētā rezolvēšanas servera, tiks sniegta tuvākā hosta adrese DNS-over-HTTPS serverim. Praktiskie testi parādīja, ka DNS-over-HTTP izmantošana ar CDN gandrīz nepārsniedza kavēšanos pirms satura pārsūtīšanas sākuma (ātrām savienojumiem kavēšanās nepārsniedza 10 milisekundes, savukārt lēnākajos sakaros pat novērota paātrināšana). CDN rezolvēšanas sistēmai klienta atrašanās vietas nosūtīšanai tika apsvērta arī EDNS Client Subnet paplašinājuma izmantošana.

Atgādinām, ka DoH var būt noderīgs, lai novērstu informācijas noplūdi par pieprasītajiem viesu vārdiem caur pakalpojumu sniedzēju DNS serveriem, cīnītos pret MITM uzbrukumiem un DNS trafika viltošanu, pretotos bloķēšanai DNS līmenī vai organizētu darbību gadījumā, ja nav iespējams tieši piekļūt DNS serveriem (piemēram, strādājot caur proksi). Ja parastā situācijā DNS pieprasījumi tiek nosūtīti tieši noteiktiem DNS serveriem atbilstoši sistēmas konfigurācijai, tad DoH gadījumā pieprasījums pēc IP adreses ir ietverts HTTPS trafika ietvaros un nosūtīts uz HTTP serveri, kur rezolvers apstrādā pieprasījumus caur Web API. Esošais standarts DNSSEC izmanto šifrēšanu tikai klienta un servera autentifikācijai, bet nepasargā trafiku no pārtveršanas un negarantē pieprasījumu konfidencialitāti.

Lai aktivizētu DoH, about:config jāmaina mainīgā network.trr.mode vērtība, kas tiek atbalstīta kopš Firefox 60. Vērtība 0 pilnībā atslēdz DoH; 1 - tiek izmantots DNS vai DoH, atkarībā no tā, kas ir ātrāk; 2 - pēc noklusējuma tiek izmantots DoH, un DNS tiek izmantojams kā rezerves variants; 3 - tiek izmantots tikai DoH; 4 - spoguļa režīms, kurā DoH un DNS tiek izmantoti paralēli. Noklusējuma DNS serveris ir CloudFlare, bet to var mainīt, izmantojot parametrus network.trr.uri, piemēram, varat iestatīt "https://dns.google.com/experimental" vai "https://9.9.9.9/dns-query".

Avots: opennet.lv