„Mīl un nemīl”: DNS pār HTTPS

Apspriedīsim viedokļus par DNS over HTTPS darbības īpatnībām, kas pēdējā laikā ir kļuvušas par «strīdīgu jautājumu» starp interneta pakalpojumu sniedzējiem un pārlūkprogrammu izstrādātājiem.

/ Unsplash / Steve Halama

Nesaskaņu būtība

Pēdējā laikā lielākie mediji un tematiskās platformas (t.sk. Habr), bieži raksta par DNS over HTTPS (DoH) protokolu. Tas šifrē pieprasījumus uz DNS serveri un atbildes uz tiem. Šāda pieeja ļauj slēpt saimniekdomēnus, uz kuriem lietotājs vērsas. No publikācijām var secināt, ka jaunais protokols (IETF apstiprināja to 2018. gadā) ir sadalījis IT kopienu divās nometnēs.

Puse uzskata, ka jaunais protokols palielinās interneta drošību un to ievieš savās lietojumprogrammās un pakalpojumos. Otrs puse uzskata, ka tehnoloģija vienkārši apgrūtina sistēmu administratoru darbu. Tālāk aplūkosim abu pušu argumentus.

Kā darbojas DoH

Pirms pāriešanas pie sarunas par to, kāpēc interneta pakalpojumu sniedzēji un citi tirgus dalībnieki ir par vai pret DNS over HTTPS, īsumā izskatīsim tā darbības principus.

DoH gadījumā pieprasījums uz IP adreses noteikšanu tiek iekļauts HTTPS satiksmē. Tad tas tiek nosūtīts uz HTTP serveri, kur tas tiek apstrādāts, izmantojot API. Šeit ir pieprasījuma piemērs no RFC 8484 (6. lpp.):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Tādējādi DNS satiksme ir slēpta HTTPS satikmē. Klients un serveris sazinās standartportā 443. Rezultātā pieprasījumi uz domēnu sistēmu paliek anonīmi.

Kāpēc to nepatīk

Pretinieki DNS over HTTPS norāda, ka jaunais protokols samazinās savienojumu drošību. Saskaņā ar vārdiem Polu Viksi (Paul Vixie), DNS izstrādātāju komandas dalībnieku, sistēmu administratoriem būs grūtāk bloķēt potenciāli kaitīgas vietnes. Parastie lietotāji šajā laikā zaudēs iespēju iestatīt vecāku kontroli pārlūkprogrammās.

Pola viedokli atbalsta arī Lielbritānijas interneta pakalpojumu sniedzēji. Valsts likumdošana nosaka tiem bloķēt resursus ar aizliegtu saturu. Taču DoH atbalsts pārlūkprogrammās apgrūtina datu plūsmas filtrēšanu. Starp jaunā protokola kritiķiem ir arī Lielbritānijas valdības komunikāciju centrs (GCHQ) un fonds Internet Watch Foundation (IWF), kurš uztur bloķēto resursu reģistru.

Mūsu emuārā Habrā:

• Karš ar robocalliem ASV — kurš uzvar un kāpēc
• Britu telekomunikāciju uzņēmumi kompensēs abonentiem par sakaru pārtraukumiem

Eksperti norāda, ka DNS over HTTPS var kļūt par kiberdrošības apdraudējumu. Jūlija sākumā kiberdrošības speciālisti no Netlab atklāja pirmo vīrusu, kas izmantoja jauno protokolu DDoS uzbrukumu veikšanai — Godlua. ļaunprogrammatūra izmantoja DoH, lai iegūtu tekstu ierakstus (TXT) un izvilktu komandu serveru URL adreses.

Šifrētie DoH pieprasījumi netika atpazīti ar pretvīrusu programmām. Kiberdrošības speciālisti bažījās, ka pēc Godlua var nākt citi ļaunprogrammatūru veidi, kas ir neredzami pasīvai DNS uzraudzībai.

Tomēr ne visi ir pret

DNS over HTTPS aizstāvību savā emuārā sniedza izteicās APNIC inženieris Džefs Hjūstons (Geoff Houston). Viņa teiktā, jaunais protokols ļaus cīnīties ar DNS hijacking uzbrukumiem, kas pēdējā laikā kļūst arvien izplatītāki. Šis fakts apstiprina janvāra ziņojumā norādīja kiberdrošības uzņēmums FireEye. Protokola izstrādi atbalstīja arī lielas IT kompānijas.

Vēl pērnā gada sākumā DoH sāka testēt Google. Pirms mēneša uzņēmums prezentēja izlaida DoH pakalpojuma General Availability versiju. Google cer,ka tas palielinās personas datu drošību tīklā un aizsargās no MITM uzbrukumiem.

Cits pārlūkprogrammu izstrādātājs — Mozilla — atbalsta ieviest DNS over HTTPS kopš pagājušā gada vasaras. Šajā laikā uzņēmums aktīvi popularizē jauno tehnoloģiju IT vidē. Par to Internet Services Providers Association (ISPA) pat nominēja Mozillu balvai "Gada interneta ļaundaris". Atbildot, uzņēmuma pārstāvji atzīmēja, ka ir vīlušies par operatoru nevēlēšanos uzlabot novecojušo interneta infrastruktūru.

/ Unsplash / TETrebbien

Mozillas atbalstam izteicās lielie mediji un daži interneta pakalpojumu sniedzēji. Jo īpaši British Telecom uzskataapgalvoja, ka jaunais protokols neietekmēs satura filtrēšanu un uzlabos britu lietotāju drošību. Sabiedrības spiediena dēļ ISPA bija spiesta atsaukt "ļaunā" nomināciju.

Tāpat par DNS over HTTPS ieviešanu stājās mākoņpakalpojumu sniedzēji, piemēram, Cloudflare. Viņi jau piedāvā DNS pakalpojumus, kas balstīti uz jauno protokolu. Pilns pārlūkprogrammu un klientu saraksts ar DoH atbalstu ir pieejams uz GitHub.

Jebkurā gadījumā pagaidām nav runas par divu pušu pretstāvēšanas noslēgšanos. IT speciālisti prognozē, ka, ja DNS over HTTPS tomēr ir lemts kļūt par daļu no masu interneta tehnoloģiju staka, tam būs nepieciešams ne viens vien gadsimts.

Par ko vēl mēs rakstām mūsu uzņēmuma emuārā:

• Kā ir veidota interneta pakalpojumu sniedzēja tīkls
• Galvenie pakalpojumi interneta pakalpojumu sniedzēju tīklos
• Konverģence un vienotība — vairākas uzdevumu risināšana ar vienu ierīci

Avots: habr.com