P\u0113c divu gadu izstr\u0101des ISC konsorcijs prezent\u0113ja pirmo stabilo izlaidumu jaunaj\u0101 noz\u012bm\u012bgaj\u0101 BIND 9.18 DNS servera versij\u0101. Versijas 9.18 atbalsts tiks nodro\u0161in\u0101ts tr\u012bs gadus l\u012bdz 2025. gada 2. ceturksnim, papla\u0161in\u0101t\u0101 atbalsta cikla ietvaros. Versijas 9.11 atbalsts tiks p\u0101rtraukts mart\u0101, bet 9.16 versijas vid\u016b 2023. gad\u0101. N\u0101kam\u0101s stabil\u0101s versijas BIND funkcionalit\u0101tes att\u012bst\u012bbai ir izveidota eksperiment\u0101l\u0101 versija BIND 9.19.0. <\/p>\n
BIND 9.18.0 izn\u0101kums ir iev\u0113rojams, pateicoties tehnolo\u0123iju «DNS virs HTTPS» (DoH, DNS over HTTPS) un DNS virs TLS (DoT, DNS over TLS) atbalsta ievie\u0161anai, k\u0101 ar\u012b XoT (XFR-over-TLS) meh\u0101nisma izveidei dro\u0161ai DNS apgabalu satura p\u0101rs\u016bt\u012b\u0161anai starp serveriem (atbalsta gan s\u016bt\u012b\u0161anu, gan sa\u0146em\u0161anu pa XoT). Ar piem\u0113rotiem iestat\u012bjumiem viens named process tagad var apkalpot ne tikai tradicion\u0101los DNS piepras\u012bjumus, bet ar\u012b piepras\u012bjumus, ko nos\u016bt\u012bju\u0161i izmantojot DNS-over-HTTPS un DNS-over-TLS. Klienta atbalsts DNS-over-TLS ir iek\u013cauts komandrindas r\u012bk\u0101 dig, kuru var izmantot piepras\u012bjumu nos\u016bt\u012b\u0161anai pa TLS, nor\u0101dot karogu «+tls». <\/p>\n
HTTP\/2 protokola, kas tiek izmantots DoH, ievie\u0161ana balst\u0101s uz nghttp2 bibliot\u0113kas izmanto\u0161anu, kas iek\u013cauta oblig\u0101taj\u0101s kompil\u0101cijas atkar\u012bb\u0101s. Sertifik\u0101tus DoH un DoT var nodro\u0161in\u0101t lietot\u0101js vai \u0123ener\u0113t autom\u0101tiski palai\u0161anas laik\u0101. <\/p>\n
Piepras\u012bjumu apstr\u0101de, izmantojot DoH un DoT, tiek aktiviz\u0113ta, pievienojot opcijas «http» un «tls» direkt\u012bv\u0101 listen-on. Lai atbalst\u012btu ne\u0161ifr\u0113tu DNS-over-HTTP, iestat\u012bjumos j\u0101nor\u0101da «tls none». Atsl\u0113gas tiek defin\u0113tas sada\u013c\u0101 «tls». Standarta t\u012bkla porti 853 DoT, 443 DoH un 80 DNS-over-HTTP var p\u0101rrakst\u012bt, izmantojot parametrus tls-port, https-port un http-port. Piem\u0113ram: <\/p>\n
tls local-tls { key-file «\\\/path\\\/to\\\/priv_key.pem»; cert-file «\\\/path\\\/to\\\/cert_chain.pem»; }; http local-http-server { endpoints { «\\\/dns-query»; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Ievie\u0161ot DoH BIND, ir iesp\u0113jams p\u0101rvietot TLS \u0161ifr\u0113\u0161anas oper\u0101cijas uz citu serveri, kas var b\u016bt nepiecie\u0161ams apst\u0101k\u013cos, kad TLS sertifik\u0101ti tiek glab\u0101ti cit\u0101 sist\u0113m\u0101 (piem\u0113ram, infrastrukt\u016br\u0101 ar t\u012bmek\u013ca serveriem) un tiek apkalpoti citam person\u0101lam. Atbalsts ne\u0161ifr\u0113tam DNS-over-HTTP ir ieviests, lai atvieglotu atk\u013c\u016bdo\u0161anu un k\u0101 sl\u0101nis, lai novirz\u012btu datus uz citu serveri iek\u0161\u0113j\u0101 t\u012bkl\u0101 (\u0161ifr\u0113\u0161anas p\u0101rvieto\u0161ana uz atsevi\u0161\u0137u serveri). \u0160ifr\u0113\u0161anas veido\u0161anai uz \u0101r\u0113j\u0101 servera var tikt izmantots nginx, t\u0101pat k\u0101 tiek organiz\u0113ta HTTPS apstr\u0101de t\u012bmek\u013ca vietn\u0113m. <\/p>\n
V\u0113l viena \u012bpa\u0161\u012bba ir DoH integr\u0101cija k\u0101 kop\u012bgs transports, ko var izmantot ne tikai klientu piepras\u012bjumu apstr\u0101dei uz resolveri, bet ar\u012b serveru datu apmai\u0146ai, zonu p\u0101rs\u016bt\u012b\u0161anai caur autoritat\u012bvo DNS serveri un jebk\u0101du citu piepras\u012bjumu apstr\u0101dei, ko atbalsta citi DNS transporti. <\/p>\n
Tr\u016bkumi, kuri tiks kompens\u0113ti, izsl\u0113dzot DoH\/DoT atbalstu vai \u0161ifr\u0113\u0161anu p\u0101rvietojot uz citu serveri, ir kop\u0113j\u0101 koda b\u0101zes sare\u017e\u0123\u012b\u0161ana \u2014 taj\u0101 tiek iek\u013cauts ieb\u016bv\u0113ts HTTP serveris un TLS bibliot\u0113ka, kas potenci\u0101li var satur\u0113t ievainojam\u012bbas un b\u016bt papildu uzbrukumu vektori. Ar\u012b, izmantojot DoH, palielin\u0101s datu pl\u016bsma. <\/p>\n
Atg\u0101din\u0101m, ka DNS-over-HTTPS var b\u016bt noder\u012bgs, lai nov\u0113rstu inform\u0101cijas nopl\u016bdi par vaic\u0101tajiem resursdatoru v\u0101rdiem caur pakalpojumu sniedz\u0113ju DNS serveriem, c\u012bn\u012btos ar MITM uzbrukumiem un DNS datu pl\u016bsmas viltojumiem (piem\u0113ram, piesl\u0113dzoties publiskajam Wi-Fi), k\u0101 ar\u012b pretotos DNS l\u012bme\u0146a blo\u0137\u0113\u0161anai (DNS-over-HTTPS nevar aizst\u0101t VPN<\/a> blo\u0137\u0113\u0161anas apiet meh\u0101nismus, kas \u012bstenoti DPI l\u012bmen\u012b) vai nodro\u0161in\u0101tu darb\u012bbu, ja nav iesp\u0113jams tie\u0161i sazin\u0101ties ar DNS serveriem (piem\u0113ram, darbojoties caur starpniekserveri). Ja parastaj\u0101 situ\u0101cij\u0101 DNS piepras\u012bjumi tie\u0161i tiek s\u016bt\u012bti uz noteiktiem DNS serveriem, kas nor\u0101d\u012bti sist\u0113mas konfigur\u0101cij\u0101, tad DNS-over-HTTPS gad\u012bjum\u0101 piepras\u012bjums noteik\u0161anai IP adreses<\/a> resursdatora v\u0101rdi ir ieliktas HTTPS datu pl\u016bsm\u0101 un nos\u016bt\u012bta uz HTTP serveri, kur resolveris apstr\u0101d\u0101 piepras\u012bjumus caur Web API. <\/p>\n \u201eDNS over TLS\u201c at\u0161\u0137iras no \u201eDNS over HTTPS\u201c, pielietojot standarta DNS protokolu (parasti izmanto t\u012bkla portu 853), kas iepakots \u0161ifr\u0113t\u0101 sakaru kan\u0101l\u0101, izveidots, izmantojot TLS protokolu ar hosta valid\u0101ciju caur TLS\/SSL sertifik\u0101tiem, ko ir apstiprin\u0101jis sertifik\u0101cijas centrs. Eso\u0161ais standarts DNSSEC izmanto \u0161ifr\u0113\u0161anu tikai klienta un servera autentifik\u0101cijai, ta\u010du nepasarg\u0101 satiksmi no p\u0101rtver\u0161anas un negarant\u0113 piepras\u012bjumu konfidencialit\u0101ti. <\/p>\n Da\u017eas citas inov\u0101cijas: <\/p>\n\n