DNS-over-HTTPS-നുള്ള പരീക്ഷണാത്മക പിന്തുണ BIND DNS സെർവറിലേക്ക് ചേർത്തു

Разработчики DNS-сервера BIND сообщили о добавлении в экспериментальную ветку 9.17 реализации серверной поддержки технологий «DNS поверх HTTPS» (DoH, DNS over HTTPS) и DNS поверх TLS (DoT, DNS over TLS), а также механизма XFR-over-TLS для безопасной передачи содержимого DNS-зон между серверами. DoH доступен для тестирования в выпуске 9.17.10, а поддержка DoT присутствует начиная с выпуска 9.17.7. После стабилизации поддержка DoT и DoH будет бэкпортирована в стабильную ветку 9.16.

Реализация протокола HTTP/2, используемого в DoH, основана на применении библиотеки nghttp2, которая включена в число сборочных зависимостей (в дальнейшем библиотеку планируется перевести в число необязательных зависимостей). Поддерживаются как шифрованные (TLS), так и незашифрованные соединения по HTTP/2. При соответствующих настройках один процесс named теперь может обслуживать не только традиционные DNS-запросы, но и запросы, отправленные с использованием DoH (DNS-over-HTTPS) и DoT (DNS-over-TLS). Поддержка HTTPS на стороне клиента (dig) пока не реализована. поддержка XFR-over-TLS доступна как для входящих, так и для исходящих запросов.

Обработка запросов с использованием DoH и DoT включается через добавление опций http и tls в директиве listen-on. Для поддержки незашифрованного DNS-over-HTTP в настройках следует указать «tls none». Ключи определяются в секции «tls». Стандартные сетевые порты 853 для DoT, 443 для DoH и 80 для DNS-over-HTTP могут быть переопределены через параметры tls-port, https-port и http-port. Например: tls local-tls { key-file «/path/to/priv_key.pem»; cert-file «/path/to/cert_chain.pem»; }; http local-http-server { endpoints { «/dns-query»; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }

Из особенностей реализации DoH в BIND отмечается интеграция в качестве общего транспорта, который может применяться не только для обработки запросов клиентов к резолверу, но и при обмене данными между серверами, при передаче зон авторитетным DNS-сервером и при обработке любых запросов, поддерживаемых другими транспортами DNS.

Другой особенности является возможность выноса операций шифрования для TLS на другой сервер, что может понадобиться в условиях, когда хранение TLS-сертификатов осуществляется на другой системе (например, в инфраструктуре с web-серверами) и обслуживается другим персоналом. Поддержка незашифрованного DNS-over-HTTP реализована для упрощения отладки и как уровень для проброса во внутренней сети, на базе которого на другом сервере может быть организовано шифрование. На выносном сервере для формирования TLS-трафика может использоваться nginx, по аналогии с тем, как организуется обвязка HTTPS для сайтов.

ദാതാക്കളുടെ ഡിഎൻഎസ് സെർവറുകളിലൂടെ അഭ്യർത്ഥിച്ച ഹോസ്റ്റ് പേരുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ചോരുന്നത് തടയുന്നതിനും MITM ആക്രമണങ്ങളെയും DNS ട്രാഫിക് സ്പൂഫിംഗിനെയും പ്രതിരോധിക്കുന്നതിനും (ഉദാഹരണത്തിന്, പബ്ലിക് വൈഫൈയിലേക്ക് കണക്റ്റുചെയ്യുമ്പോൾ) പ്രതിരോധിക്കുന്നതിന് DNS-over-HTTPS ഉപയോഗപ്രദമാകുമെന്ന് നമുക്ക് ഓർക്കാം. ഡിഎൻഎസ് തലത്തിൽ തടയൽ (ഡിപിഐ തലത്തിൽ നടപ്പിലാക്കിയ തടയൽ ബൈപാസ് ചെയ്യുന്നതിൽ ഡിഎൻഎസ്-ഓവർ-എച്ച്ടിടിപിഎസ് ഒരു വിപിഎൻ മാറ്റിസ്ഥാപിക്കാനാകില്ല) അല്ലെങ്കിൽ ഡിഎൻഎസ് സെർവറുകൾ നേരിട്ട് ആക്സസ് ചെയ്യാൻ കഴിയാത്തപ്പോൾ ജോലി സംഘടിപ്പിക്കുന്നതിന് (ഉദാഹരണത്തിന്, ഒരു പ്രോക്സി വഴി പ്രവർത്തിക്കുമ്പോൾ). ഒരു സാധാരണ സാഹചര്യത്തിൽ, സിസ്റ്റം കോൺഫിഗറേഷനിൽ നിർവചിച്ചിരിക്കുന്ന DNS സെർവറുകളിലേക്ക് DNS അഭ്യർത്ഥനകൾ നേരിട്ട് അയയ്‌ക്കുകയാണെങ്കിൽ, DNS-ഓവർ-HTTPS-ന്റെ കാര്യത്തിൽ, ഹോസ്റ്റ് IP വിലാസം നിർണ്ണയിക്കുന്നതിനുള്ള അഭ്യർത്ഥന HTTPS ട്രാഫിക്കിൽ ഉൾപ്പെടുത്തി HTTP സെർവറിലേക്ക് അയയ്‌ക്കുന്നു. വെബ് API വഴി അഭ്യർത്ഥനകൾ പരിഹരിക്കുന്നയാൾ പ്രോസസ്സ് ചെയ്യുന്നു.

TLS/SSL സർട്ടിഫിക്കറ്റുകൾ സാക്ഷ്യപ്പെടുത്തിയ ഹോസ്റ്റ് സാധുത പരിശോധിക്കുന്ന TLS പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് സംഘടിപ്പിച്ച ഒരു എൻക്രിപ്റ്റഡ് കമ്മ്യൂണിക്കേഷൻ ചാനലിൽ പൊതിഞ്ഞ് സ്റ്റാൻഡേർഡ് DNS പ്രോട്ടോക്കോൾ (നെറ്റ്‌വർക്ക് പോർട്ട് 853 സാധാരണയായി ഉപയോഗിക്കുന്നു) ഉപയോഗത്തിൽ "DNS ഓവർ TLS" എന്നതിൽ നിന്ന് വ്യത്യസ്തമാണ്. ഒരു സർട്ടിഫിക്കേഷൻ അതോറിറ്റി മുഖേന. നിലവിലുള്ള DNSSEC സ്റ്റാൻഡേർഡ് ക്ലയന്റിനെയും സെർവറിനെയും പ്രാമാണീകരിക്കുന്നതിന് മാത്രമാണ് എൻക്രിപ്ഷൻ ഉപയോഗിക്കുന്നത്, എന്നാൽ തടസ്സങ്ങളിൽ നിന്ന് ട്രാഫിക്കിനെ സംരക്ഷിക്കുന്നില്ല, അഭ്യർത്ഥനകളുടെ രഹസ്യാത്മകത ഉറപ്പുനൽകുന്നില്ല.

അവലംബം: opennet.ru