ലൈക്കുകളും ഡിസ്‌ലൈക്കുകളും: HTTPS വഴിയുള്ള DNS

ഇന്റർനെറ്റ് ദാതാക്കളുടെയും ബ്രൗസർ ഡെവലപ്പർമാരുടെയും ഇടയിൽ അടുത്തിടെ "തർക്കത്തിന്റെ അസ്ഥി" ആയി മാറിയ HTTPS വഴിയുള്ള DNS-ന്റെ സവിശേഷതകളെക്കുറിച്ചുള്ള അഭിപ്രായങ്ങൾ ഞങ്ങൾ വിശകലനം ചെയ്യുന്നു.

/അൺസ്പ്ലാഷ്/ സ്റ്റീവ് ഹലാമ

വിയോജിപ്പിന്റെ സാരം

താമസിയാതെ പ്രധാന മാധ്യമങ്ങൾ и തീമാറ്റിക് പ്ലാറ്റ്‌ഫോമുകൾ (Habr ഉൾപ്പെടെ), അവർ പലപ്പോഴും DNS-നെ കുറിച്ച് HTTPS (DoH) പ്രോട്ടോക്കോൾ വഴി എഴുതുന്നു. ഇത് ഡിഎൻഎസ് സെർവറിലേക്കുള്ള അഭ്യർത്ഥനകളും അവയ്ക്കുള്ള പ്രതികരണങ്ങളും എൻക്രിപ്റ്റ് ചെയ്യുന്നു. ഉപയോക്താവ് ആക്‌സസ് ചെയ്യുന്ന ഹോസ്റ്റുകളുടെ പേരുകൾ മറയ്ക്കാൻ ഈ സമീപനം നിങ്ങളെ അനുവദിക്കുന്നു. പ്രസിദ്ധീകരണങ്ങളിൽ നിന്ന് നമുക്ക് നിഗമനം ചെയ്യാം, പുതിയ പ്രോട്ടോക്കോൾ (IETF-ൽ അത് അംഗീകരിച്ചു 2018 ൽ) ഐടി സമൂഹത്തെ രണ്ട് ക്യാമ്പുകളായി വിഭജിച്ചു.

പുതിയ പ്രോട്ടോക്കോൾ ഇന്റർനെറ്റ് സുരക്ഷ മെച്ചപ്പെടുത്തുമെന്നും അത് അവരുടെ ആപ്ലിക്കേഷനുകളിലും സേവനങ്ങളിലും നടപ്പിലാക്കുമെന്നും പകുതി വിശ്വസിക്കുന്നു. സാങ്കേതികവിദ്യ സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാരുടെ ജോലി കൂടുതൽ ദുഷ്കരമാക്കുകയേയുള്ളൂവെന്ന് മറ്റേ പകുതിക്ക് ബോധ്യമുണ്ട്. അടുത്തതായി, ഞങ്ങൾ ഇരുപക്ഷത്തിന്റെയും വാദങ്ങൾ വിശകലനം ചെയ്യും.

DoH എങ്ങനെയാണ് പ്രവർത്തിക്കുന്നത്

എന്തുകൊണ്ടാണ് ISP-കളും മറ്റ് മാർക്കറ്റ് പങ്കാളികളും HTTPS വഴി DNS-നെ അനുകൂലിക്കുന്നതെന്നോ പ്രതികൂലിക്കുന്നതെന്നോ അറിയുന്നതിന് മുമ്പ്, അത് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് നമുക്ക് ചുരുക്കമായി നോക്കാം.

DoH-ന്റെ കാര്യത്തിൽ, IP വിലാസം നിർണ്ണയിക്കുന്നതിനുള്ള അഭ്യർത്ഥന HTTPS ട്രാഫിക്കിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. അത് പിന്നീട് HTTP സെർവറിലേക്ക് പോകുന്നു, അവിടെ API ഉപയോഗിച്ച് പ്രോസസ്സ് ചെയ്യുന്നു. RFC 8484-ൽ നിന്നുള്ള ഒരു ഉദാഹരണ അഭ്യർത്ഥന ഇതാ (പേജ് 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

അങ്ങനെ, HTTPS ട്രാഫിക്കിൽ DNS ട്രാഫിക് മറഞ്ഞിരിക്കുന്നു. ക്ലയന്റും സെർവറും സ്റ്റാൻഡേർഡ് പോർട്ട് 443 വഴി ആശയവിനിമയം നടത്തുന്നു. തൽഫലമായി, ഡൊമെയ്ൻ നെയിം സിസ്റ്റത്തിലേക്കുള്ള അഭ്യർത്ഥനകൾ അജ്ഞാതമായി തുടരുന്നു.

എന്തുകൊണ്ടാണ് അവൻ പ്രീതി കാണിക്കാത്തത്?

HTTPS വഴി DNS-ന്റെ എതിരാളികൾ പറയുകപുതിയ പ്രോട്ടോക്കോൾ കണക്ഷനുകളുടെ സുരക്ഷ കുറയ്ക്കുമെന്ന്. എഴുതിയത് അനുസരിച്ച് DNS ഡെവലപ്മെന്റ് ടീമിലെ അംഗമായ പോൾ വിക്സി, ക്ഷുദ്രകരമായ സൈറ്റുകൾ തടയുന്നത് സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് കൂടുതൽ ബുദ്ധിമുട്ടാക്കും. ബ്രൗസറുകളിൽ സോപാധികമായ രക്ഷാകർതൃ നിയന്ത്രണങ്ങൾ സജ്ജീകരിക്കാനുള്ള കഴിവ് സാധാരണ ഉപയോക്താക്കൾക്ക് നഷ്ടപ്പെടും.

പോളിന്റെ വീക്ഷണങ്ങൾ യുകെ ഇന്റർനെറ്റ് ദാതാക്കൾ പങ്കിടുന്നു. രാജ്യത്തെ നിയമനിർമ്മാണം ബാധ്യതകൾ നിരോധിത ഉള്ളടക്കമുള്ള ഉറവിടങ്ങളിൽ നിന്ന് അവരെ തടയുക. എന്നാൽ ബ്രൗസറുകളിൽ DoH-നുള്ള പിന്തുണ ട്രാഫിക് ഫിൽട്ടർ ചെയ്യുന്ന ജോലി സങ്കീർണ്ണമാക്കുന്നു. പുതിയ പ്രോട്ടോക്കോളിന്റെ വിമർശകരിൽ ഇംഗ്ലണ്ടിലെ ഗവൺമെന്റ് കമ്മ്യൂണിക്കേഷൻസ് സെന്ററും ഉൾപ്പെടുന്നു (GCHQ) കൂടാതെ ഇന്റർനെറ്റ് വാച്ച് ഫൗണ്ടേഷൻ (ഐഎംഎഫ്), ഇത് തടഞ്ഞ വിഭവങ്ങളുടെ ഒരു രജിസ്റ്റർ പരിപാലിക്കുന്നു.

ഹബ്രെയിലെ ഞങ്ങളുടെ ബ്ലോഗിൽ:

• യുഎസ്എയിലെ റോബോകോളുകൾക്കെതിരായ യുദ്ധം - ആരാണ് വിജയിക്കുന്നത്, എന്തുകൊണ്ട്
• സേവന തടസ്സങ്ങൾക്ക് ബ്രിട്ടീഷ് ടെലികോം വരിക്കാർക്ക് നഷ്ടപരിഹാരം നൽകും

എച്ച്ടിടിപിഎസിലൂടെയുള്ള ഡിഎൻഎസ് സൈബർ സുരക്ഷാ ഭീഷണിയായി മാറുമെന്ന് വിദഗ്ധർ അഭിപ്രായപ്പെടുന്നു. ജൂലൈ തുടക്കത്തിൽ, നെറ്റ്‌ലാബിൽ നിന്നുള്ള വിവര സുരക്ഷാ വിദഗ്ധർ കണ്ടെത്തി DDoS ആക്രമണങ്ങൾ നടത്താൻ പുതിയ പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച ആദ്യത്തെ വൈറസ് - ഗോഡ്‌ലുവ. ടെക്‌സ്‌റ്റ് റെക്കോർഡുകൾ (TXT) നേടുന്നതിനും കമാൻഡ്, കൺട്രോൾ സെർവർ URL-കൾ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യുന്നതിനും ക്ഷുദ്രവെയർ DoH ആക്‌സസ് ചെയ്‌തു.

എൻക്രിപ്റ്റ് ചെയ്ത DoH അഭ്യർത്ഥനകൾ ആന്റിവൈറസ് സോഫ്‌റ്റ്‌വെയർ തിരിച്ചറിഞ്ഞില്ല. വിവര സുരക്ഷാ വിദഗ്ധർ ഭയപ്പെടുന്നുഗോഡ്‌ലുവയ്‌ക്ക് ശേഷം മറ്റ് ക്ഷുദ്രവെയർ വരും, നിഷ്‌ക്രിയ DNS നിരീക്ഷണത്തിന് അദൃശ്യമാണ്.

എന്നാൽ എല്ലാവരും അതിന് എതിരല്ല

അവന്റെ ബ്ലോഗിൽ HTTPS-ന് മുകളിൽ DNS-ന്റെ പ്രതിരോധം സംസാരിച്ചു APNIC എഞ്ചിനീയർ ജെഫ് ഹൂസ്റ്റൺ. അദ്ദേഹത്തിന്റെ അഭിപ്രായത്തിൽ, പുതിയ പ്രോട്ടോക്കോൾ DNS ഹൈജാക്കിംഗ് ആക്രമണങ്ങളെ ചെറുക്കാൻ സാധ്യമാക്കുന്നു, ഇത് അടുത്തിടെ കൂടുതൽ സാധാരണമായിത്തീർന്നു. ഈ വസ്തുത സ്ഥിരീകരിക്കുന്നു സൈബർ സുരക്ഷാ കമ്പനിയായ ഫയർ ഐയിൽ നിന്നുള്ള ജനുവരി റിപ്പോർട്ട്. വൻകിട ഐടി കമ്പനികളും പ്രോട്ടോക്കോൾ വികസിപ്പിക്കുന്നതിന് പിന്തുണ നൽകി.

കഴിഞ്ഞ വർഷത്തിന്റെ തുടക്കത്തിൽ, DoH ഗൂഗിളിൽ പരീക്ഷിക്കാൻ തുടങ്ങി. ഒരു മാസം മുമ്പ് കമ്പനി представила അതിന്റെ DoH സേവനത്തിന്റെ പൊതുവായ ലഭ്യത പതിപ്പ്. Google-ൽ പ്രത്യാശ, അത് നെറ്റ്‌വർക്കിലെ വ്യക്തിഗത ഡാറ്റയുടെ സുരക്ഷ വർദ്ധിപ്പിക്കുകയും MITM ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുകയും ചെയ്യും.

മറ്റൊരു ബ്രൗസർ ഡെവലപ്പർ - മോസില്ല - പിന്തുണയ്ക്കുന്നു കഴിഞ്ഞ വേനൽക്കാലം മുതൽ HTTPS വഴി DNS. അതേസമയം, ഐടി പരിതസ്ഥിതിയിൽ പുതിയ സാങ്കേതികവിദ്യയെ കമ്പനി സജീവമായി പ്രോത്സാഹിപ്പിക്കുന്നു. ഇതിനായി ഇന്റർനെറ്റ് സർവീസസ് പ്രൊവൈഡേഴ്സ് അസോസിയേഷൻ (ഐഎസ്പിഎ) നാമനിർദ്ദേശം ചെയ്യപ്പെട്ടു പോലും ഇന്റർനെറ്റ് വില്ലൻ ഓഫ് ദ ഇയർ അവാർഡിന് മോസില്ല. പ്രതികരണമായി, കമ്പനി പ്രതിനിധികൾ ശ്രദ്ധിച്ചു, ടെലികോം ഓപ്പറേറ്റർമാരുടെ കാലഹരണപ്പെട്ട ഇന്റർനെറ്റ് ഇൻഫ്രാസ്ട്രക്ചർ മെച്ചപ്പെടുത്താനുള്ള വിമുഖതയാൽ നിരാശരായവർ.

/അൺസ്പ്ലാഷ്/ TETrebbien

മോസില്ലയെ പിന്തുണച്ചു പ്രമുഖ മാധ്യമങ്ങൾ സംസാരിച്ചു ചില ഇന്റർനെറ്റ് ദാതാക്കളും. പ്രത്യേകിച്ചും, ബ്രിട്ടീഷ് ടെലികോമിൽ പരിഗണിക്കുകപുതിയ പ്രോട്ടോക്കോൾ ഉള്ളടക്ക ഫിൽട്ടറിംഗിനെ ബാധിക്കില്ലെന്നും യുകെ ഉപയോക്താക്കളുടെ സുരക്ഷ മെച്ചപ്പെടുത്തുമെന്നും. പൊതു സമ്മർദ്ദത്തിൽ ISPA തിരിച്ചുവിളിക്കേണ്ടി വന്നു "വില്ലൻ" നാമനിർദ്ദേശം.

ക്ലൗഡ് ദാതാക്കളും HTTPS വഴി ഡിഎൻഎസ് അവതരിപ്പിക്കണമെന്ന് വാദിച്ചു, ഉദാഹരണത്തിന് ച്ലൊഉദ്ഫ്ലരെ. പുതിയ പ്രോട്ടോക്കോൾ അടിസ്ഥാനമാക്കി അവർ ഇതിനകം DNS സേവനങ്ങൾ വാഗ്ദാനം ചെയ്യുന്നു. DoH-നെ പിന്തുണയ്ക്കുന്ന ബ്രൗസറുകളുടെയും ക്ലയന്റുകളുടെയും പൂർണ്ണമായ ലിസ്റ്റ് ഇവിടെ ലഭ്യമാണ് സാമൂഹികം.

ഏതായാലും ഇരു ചേരികളും തമ്മിലുള്ള ഏറ്റുമുട്ടൽ അവസാനിക്കുന്നതിനെക്കുറിച്ച് സംസാരിക്കാൻ ഇതുവരെ സാധ്യമല്ല. എച്ച്ടിടിപിഎസിലൂടെയുള്ള ഡിഎൻഎസ് മുഖ്യധാരാ ഇന്റർനെറ്റ് ടെക്‌നോളജി സ്റ്റാക്കിന്റെ ഭാഗമാകാൻ വിധിക്കപ്പെട്ടാൽ, അത് എടുക്കുമെന്ന് ഐടി വിദഗ്ധർ പ്രവചിക്കുന്നു. ഒരു പതിറ്റാണ്ടിലധികം.

ഞങ്ങളുടെ കോർപ്പറേറ്റ് ബ്ലോഗിൽ ഞങ്ങൾ മറ്റെന്താണ് എഴുതുന്നത്:

• ഇന്റർനെറ്റ് പ്രൊവൈഡർ നെറ്റ്‌വർക്ക് എങ്ങനെയാണ് നിർമ്മിച്ചിരിക്കുന്നത്
• ഇന്റർനെറ്റ് പ്രൊവൈഡർ നെറ്റ്‌വർക്കുകളിലെ അടിസ്ഥാന സേവനങ്ങൾ
• ഒത്തുചേരലും ഏകീകരണവും - ഒരു ഉപകരണത്തിൽ ഒന്നിലധികം ജോലികൾ

അവലംബം: www.habr.com