ProHoster > Blogs > interneta ziņas > ASV lietotājiem pārlūkprogrammā Firefox pēc noklusējuma ir iespējots DNS-over-HTTPS

ASV lietotājiem pārlūkprogrammā Firefox pēc noklusējuma ir iespējots DNS-over-HTTPS

Firefox izstrādātāji paziņoja par DNS, izmantojot HTTPS (DoH, DNS, izmantojot HTTPS) režīma iespējoÅ”anu pēc noklusējuma ASV lietotājiem. DNS trafika Å”ifrÄ“Å”ana tiek uzskatÄ«ta par bÅ«tiski svarÄ«gu faktoru lietotāju aizsardzÄ«bā. No Å”odienas visām jaunajām ASV lietotāju instalācijām pēc noklusējuma bÅ«s iespējota DoH. Plānots, ka esoÅ”ie ASV lietotāji tiks pārslēgti uz DoH dažu nedēļu laikā. Eiropas SavienÄ«bā un citās valstÄ«s pagaidām aktivizējiet DoH pēc noklusējuma neplāno.

Pēc DoH aktivizÄ“Å”anas lietotājam tiek parādÄ«ts brÄ«dinājums, kas ļauj, ja vēlas, atteikties sazināties ar centralizētiem DoH DNS serveriem un atgriezties pie tradicionālās shēmas, kad pakalpojumu sniedzēja DNS serverim tiek nosÅ«tÄ«ti neÅ”ifrēti vaicājumi. Izkliedētās DNS atrisinātāju infrastruktÅ«ras vietā DoH izmanto saistÄ«Å”anu ar konkrētu DoH pakalpojumu, ko var uzskatÄ«t par vienu atteices punktu. Å obrÄ«d darbs tiek piedāvāts caur diviem DNS nodroÅ”inātājiem ā€“ CloudFlare (noklusējums) un NextDNS.

ASV lietotājiem pārlūkprogrammā Firefox pēc noklusējuma ir iespējots DNS-over-HTTPS

Mainiet pakalpojumu sniedzēju vai atspējojiet DoH viens var tÄ«kla savienojuma iestatÄ«jumos. Piemēram, varat norādÄ«t alternatÄ«vu DoH serveri ā€œhttps://dns.google/dns-queryā€, lai piekļūtu Google serveriem, ā€œhttps://dns.quad9.net/dns-queryā€ ā€” Quad9 un ā€œhttps:/ /doh .opendns.com/dns-query" ā€” OpenDNS. About:config nodroÅ”ina arÄ« tÄ«kla.trr.mode iestatÄ«jumu, ar kura palÄ«dzÄ«bu var mainÄ«t DoH darbÄ«bas režīmu: vērtÄ«ba 0 pilnÄ«bā atspējo DoH; 1 ā€” tiek izmantots DNS vai DoH ā€” atkarÄ«bā no tā, kurÅ” ir ātrāks; 2 - DoH tiek izmantots pēc noklusējuma, un DNS tiek izmantots kā rezerves opcija; 3 - tiek izmantots tikai DoH; 4 - spoguļoÅ”anas režīms, kurā paralēli tiek izmantots DoH un DNS.

Atgādināsim, ka DoH var bÅ«t noderÄ«ga, lai novērstu informācijas noplÅ«di par pieprasÄ«tajiem resursdatora nosaukumiem caur pakalpojumu sniedzēju DNS serveriem, apkarotu MITM uzbrukumus un DNS trafika viltoÅ”anu (piemēram, pieslēdzoties publiskajam Wi-Fi), apkarotu bloÄ·Ä“Å”anu DNS. lÄ«menÄ« (DoH nevar aizstāt VPN DPI lÄ«menÄ« ieviestās bloÄ·Ä“Å”anas apieÅ”anas jomā) vai darba organizÄ“Å”anai, ja nav iespējams tieÅ”i piekļūt DNS serveriem (piemēram, strādājot caur starpniekserveri). Ja normālā situācijā DNS pieprasÄ«jumi tiek tieÅ”i nosÅ«tÄ«ti uz sistēmas konfigurācijā definētajiem DNS serveriem, tad DoH gadÄ«jumā pieprasÄ«jums noteikt saimniekdatora IP adresi tiek iekapsulēts HTTPS trafikā un nosÅ«tÄ«ts uz HTTP serveri, kur atrisinātājs apstrādā. pieprasÄ«jumus, izmantojot Web API. EsoÅ”ais DNSSEC standarts izmanto Å”ifrÄ“Å”anu tikai klienta un servera autentifikācijai, taču neaizsargā trafiku no pārtverÅ”anas un negarantē pieprasÄ«jumu konfidencialitāti.

Lai atlasÄ«tu pārlÅ«kprogrammā Firefox piedāvātos DoH pakalpojumu sniedzējus, PrasÄ«bas uzticamiem DNS risinātājiem, saskaņā ar kuriem DNS operators risināŔanai saņemtos datus var izmantot tikai pakalpojuma darbÄ«bas nodroÅ”ināŔanai, nedrÄ«kst glabāt žurnālus ilgāk par 24 stundām, nedrÄ«kst nodot datus treÅ”ajām personām un ir pienākums izpaust informāciju par datu apstrādes metodes. Tāpat pakalpojumam ir jāpiekrÄ«t DNS trafiku necenzēt, nefiltrēt, netraucēt vai bloķēt, izņemot likumā paredzētās situācijas.

DoH jālieto piesardzÄ«gi. Piemēram, Krievijas Federācijā IP adreses 104.16.248.249 un 104.16.249.249 ir ā€‹ā€‹saistÄ«tas ar noklusējuma DoH serveri mozilla.cloudflare-dns.com, kas tiek piedāvāts pārlÅ«kprogrammā Firefox, uzskaitÄ«ti Š² sarakstus bloÄ·Ä“Å”ana Roskomnadzor pēc Stavropoles tiesas 10.06.2013. gada XNUMX. jÅ«nija lÅ«guma.

DoH var radÄ«t problēmas arÄ« tādās jomās kā vecāku kontroles sistēmas, piekļuve iekŔējām nosaukumu telpām korporatÄ«vajās sistēmās, marÅ”ruta izvēle satura piegādes optimizācijas sistēmās un tiesas rÄ«kojumu izpilde nelegāla satura izplatÄ«Å”anas un izmantoÅ”anas apkaroÅ”anas jomā. nepilngadÄ«gie. Lai apietu Ŕādas problēmas, ir ieviesta un pārbaudÄ«ta pārbaudes sistēma, kas noteiktos apstākļos automātiski atspējo DoH.

Lai identificētu uzņēmuma atrisinātājus, tiek pārbaudÄ«ti netipiski pirmā lÄ«meņa domēni (TLD), un sistēmas risinātājs atgriež iekÅ”tÄ«kla adreses. Lai noteiktu, vai ir iespējota vecāku kontrole, tiek mēģināts atrisināt nosaukumu exampleadultsite.com un, ja rezultāts neatbilst faktiskajam IP, tiek uzskatÄ«ts, ka DNS lÄ«menÄ« ir aktÄ«va pieauguÅ”ajiem paredzētā satura bloÄ·Ä“Å”ana. Google un YouTube IP adreses arÄ« tiek pārbaudÄ«tas kā zÄ«mes, lai noskaidrotu, vai tās ir aizstātas ar limit.youtube.com, forcesafesearch.google.com un limitmoderate.youtube.com. Å Ä«s pārbaudes ļauj uzbrucējiem, kuri kontrolē atrisinātāja darbÄ«bu vai spēj traucēt trafiku, simulēt Ŕādu darbÄ«bu, lai atspējotu DNS trafika Å”ifrÄ“Å”anu.

Darbs, izmantojot vienu DoH pakalpojumu, var arÄ« radÄ«t problēmas ar trafika optimizāciju satura piegādes tÄ«klos, kas lÄ«dzsvaro trafiku, izmantojot DNS (CDN tÄ«kla DNS serveris Ä£enerē atbildi, ņemot vērā atrisinātāja adresi un nodroÅ”ina tuvāko resursdatoru satura saņemÅ”anai). . NosÅ«tot DNS vaicājumu no lietotājam tuvākā atrisinātāja Ŕādos CDN, tiek atgriezta lietotājam vistuvāk esoŔā resursdatora adrese, bet, nosÅ«tot DNS vaicājumu no centralizētā atrisinātāja, tiks atgriezta resursdatora adrese, kas ir vistuvāk DNS-over-HTTPS serverim. . Pārbaude praksē parādÄ«ja, ka DNS-over-HTTP izmantoÅ”ana, izmantojot CDN, praktiski neradÄ«ja aizkavi pirms satura pārsÅ«tÄ«Å”anas sākuma (ātriem savienojumiem aizkave nepārsniedza 10 milisekundes, un vēl ātrāka darbÄ«ba tika novērota lēnos sakaru kanālos ). Tika apsvērta arÄ« EDNS klienta apakÅ”tÄ«kla paplaÅ”inājuma izmantoÅ”ana, lai CDN atrisinātājam nodroÅ”inātu klienta atraÅ”anās vietas informāciju.

Avots: opennet.ru

Pievieno komentāru