Ги анализираме мислењата во врска со карактеристиките на DNS преку HTTPS, кои неодамна станаа „коска на расправија“ меѓу интернет провајдерите и развивачите на прелистувачи.
/Unsplash/
Суштината на несогласувањето
Во последно време и (вклучувајќи го и Habr), тие често пишуваат за протоколот DNS преку HTTPS (DoH). Ги шифрира барањата до серверот DNS и одговорите на нив. Овој пристап ви овозможува да ги скриете имињата на домаќините до кои пристапува корисникот. Од публикациите можеме да заклучиме дека новиот протокол (во IETF во 2018 година) ја подели ИТ заедницата на два табора.
Половина веруваат дека новиот протокол ќе ја подобри безбедноста на Интернет и го имплементираат во своите апликации и услуги. Другата половина е убедена дека технологијата само ја отежнува работата на системските администратори. Следно, ќе ги анализираме аргументите на двете страни.
Како работи DoH
Пред да навлеземе во тоа зошто интернет провајдерите и другите учесници на пазарот се за или против DNS преку HTTPS, ајде накратко да погледнеме како функционира.
Во случај на DoH, барањето за одредување на IP адресата е инкапсулирано во сообраќајот HTTPS. Потоа оди до серверот HTTP, каде што се обработува со помош на API. Еве пример барање од RFC 8484 ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
Така, сообраќајот DNS е скриен во сообраќајот HTTPS. Клиентот и серверот комуницираат преку стандардната порта 443. Како резултат на тоа, барањата до системот за имиња на домен остануваат анонимни.
Зошто не е фаворизиран?
Противници на DNS преку HTTPS дека новиот протокол ќе ја намали безбедноста на врските. Од страна на Пол Викси, член на тимот за развој на DNS, ќе им отежне на системските администратори да блокираат потенцијално малициозни страници. Обичните корисници ќе ја изгубат можноста да поставуваат условни родителски контроли во прелистувачите.
Ставовите на Пол ги делат британските интернет провајдери. Законодавство на земјата блокирајте ги од ресурси со забранета содржина. Но, поддршката за DoH во прелистувачите ја комплицира задачата за филтрирање на сообраќајот. Критичарите на новиот протокол го вклучуваат и владиниот центар за комуникации во Англија () и Фондацијата Internet Watch (), кој води регистар на блокирани ресурси.
Во нашиот блог на Хабре:
Експертите забележуваат дека DNS преку HTTPS може да стане закана за сајбер безбедноста. На почетокот на јули, специјалисти за информациска безбедност од Нетлаб првиот вирус што го користеше новиот протокол за извршување DDoS напади - . Злонамерниот софтвер пристапи до ДоХ за да добие текстуални записи (TXT) и да ги извлече URL-адресите на серверот за команди и контрола.
Шифрираните барања за DoH не беа препознаени од антивирусен софтвер. Специјалисти за безбедност на информации дека после Godlua ќе дојде друг малициозен софтвер, невидлив за пасивно DNS мониторинг.
Но, не се сите против тоа
Во одбрана на DNS преку HTTPS на неговиот блог АПНИК инженер Џеф Хјустон. Според него, новиот протокол ќе овозможи борба против нападите со киднапирање на DNS, кои во последно време стануваат сè почести. Овој факт Јануарски извештај од компанијата за сајбер безбедност FireEye. Големите ИТ компании исто така го поддржаа развојот на протоколот.
На почетокот на минатата година, DoH почна да се тестира во Google. И пред еден месец компанијата Верзија за општа достапност на нејзината услуга DoH. На Google , дека ќе ја зголеми безбедноста на личните податоци на мрежата и ќе заштити од MITM напади.
Друг развивач на прелистувач - Mozilla - DNS преку HTTPS од минатото лето. Во исто време, компанијата активно промовира нова технологија во ИТ околината. За ова, Здружението на даватели на интернет услуги (ISPA) Mozilla за награда за интернет негативец на годината. Како одговор, претставници на компанијата , кои се фрустрирани од неподготвеноста на телекомуникациските оператори да ја подобрат својата застарена интернет инфраструктура.
/Unsplash/
За поддршка на Mozilla и некои интернет провајдери. Конкретно, во Британскиот Телеком дека новиот протокол нема да влијае на филтрирањето на содржината и ќе ја подобри безбедноста на корисниците во ОК. Под притисок на јавноста ИСПА номинација за „негативец“.
Обезбедувачите на облак, на пример, се залагаа за воведување на DNS преку HTTPS . Тие веќе нудат DNS услуги врз основа на новиот протокол. Комплетна листа на прелистувачи и клиенти кои поддржуваат DoH е достапна на .
Во секој случај, се уште не може да се зборува за крај на пресметката на двата табора. ИТ експертите предвидуваат дека ако DNS преку HTTPS е предодреден да стане дел од мејнстрим оџакот на интернет технологијата, ќе биде потребно .
За што друго пишуваме на нашиот корпоративен блог:
Извор: www.habr.com