DNS-over-HTTPS यूएस वापरकर्त्यांसाठी फायरफॉक्समध्ये डीफॉल्टनुसार सक्षम केले आहे

फायरफॉक्स डेव्हलपर्स घोषित केले यूएस वापरकर्त्यांसाठी डीफॉल्टनुसार HTTPS (DoH, DNS over HTTPS) मोडवर DNS सक्षम करण्याबद्दल. वापरकर्त्यांचे संरक्षण करण्यासाठी DNS रहदारीचे कूटबद्धीकरण हा मूलभूत महत्त्वाचा घटक मानला जातो. आजपासून, यूएस वापरकर्त्यांद्वारे सर्व नवीन स्थापनांमध्ये डीफॉल्टनुसार DoH सक्षम केले जाईल. विद्यमान यूएस वापरकर्ते काही आठवड्यात DoH वर स्विच केले जातील. युरोपियन युनियन आणि इतर देशांमध्ये, आत्तासाठी डीफॉल्टनुसार DoH सक्रिय करा योजना करू नका.

DoH सक्रिय केल्यानंतर, वापरकर्त्याला एक चेतावणी प्रदर्शित केली जाते, जी इच्छित असल्यास, केंद्रीकृत DoH DNS सर्व्हरशी संपर्क साधण्यास नकार देण्यास आणि प्रदात्याच्या DNS सर्व्हरवर एनक्रिप्ट न केलेल्या क्वेरी पाठवण्याच्या पारंपारिक योजनेवर परत येण्याची परवानगी देते. डीएनएस रिझोल्व्हर्सच्या वितरीत इन्फ्रास्ट्रक्चरऐवजी, DoH विशिष्ट DoH सेवेसाठी बंधनकारक वापरते, ज्याला अपयशाचा एकच मुद्दा मानला जाऊ शकतो. सध्या, दोन DNS प्रदात्यांद्वारे कार्य ऑफर केले जाते - CloudFlare (डीफॉल्ट) आणि नेक्स्ट डीएनएस.

प्रदाता बदला किंवा DoH अक्षम करा करू शकता नेटवर्क कनेक्शन सेटिंग्जमध्ये. उदाहरणार्थ, Google सर्व्हरमध्ये प्रवेश करण्यासाठी तुम्ही पर्यायी DoH सर्व्हर “https://dns.google/dns-query” निर्दिष्ट करू शकता, “https://dns.quad9.net/dns-query” - Quad9 आणि “https:// /doh .opendns.com/dns-query" - OpenDNS. About:config नेटवर्क.trr.mode सेटिंग देखील प्रदान करते, ज्याद्वारे तुम्ही DoH ऑपरेटिंग मोड बदलू शकता: 0 चे मूल्य DoH पूर्णपणे अक्षम करते; 1 - DNS किंवा DoH वापरले जाते, जे जलद असेल; 2 - डीओएच डीफॉल्टनुसार वापरला जातो आणि DNS फॉलबॅक पर्याय म्हणून वापरला जातो; 3 - फक्त DoH वापरले जाते; 4 - मिररिंग मोड ज्यामध्ये DoH आणि DNS समांतर वापरले जातात.

प्रदात्यांच्या DNS सर्व्हरद्वारे विनंती केलेल्या होस्टच्या नावांची माहिती लीक होण्यापासून रोखण्यासाठी, MITM हल्ला आणि DNS ट्रॅफिक स्पूफिंग (उदाहरणार्थ, सार्वजनिक वाय-फायशी कनेक्ट करताना), DNS वर ब्लॉकिंगचा प्रतिकार करण्यासाठी DoH उपयुक्त ठरू शकते. स्तर (डीपीआय स्तरावर लागू केलेल्या बायपास ब्लॉकिंगच्या क्षेत्रात डीओएच व्हीपीएन बदलू शकत नाही) किंवा डीएनएस सर्व्हरवर थेट प्रवेश करणे अशक्य असल्यास कार्य आयोजित करण्यासाठी (उदाहरणार्थ, प्रॉक्सीद्वारे कार्य करताना). जर सामान्य स्थितीत डीएनएस विनंत्या थेट सिस्टम कॉन्फिगरेशनमध्ये परिभाषित केलेल्या डीएनएस सर्व्हरवर पाठवल्या गेल्या असतील, तर DoH च्या बाबतीत, होस्टचा IP पत्ता निश्चित करण्याची विनंती HTTPS रहदारीमध्ये एन्कॅप्स्युलेट केली जाते आणि HTTP सर्व्हरला पाठविली जाते, जिथे निराकरणकर्ता प्रक्रिया करतो. वेब API द्वारे विनंत्या. विद्यमान DNSSEC मानक केवळ क्लायंट आणि सर्व्हरचे प्रमाणीकरण करण्यासाठी एन्क्रिप्शन वापरते, परंतु ट्रॅफिकला व्यत्यय येण्यापासून संरक्षण देत नाही आणि विनंत्यांच्या गोपनीयतेची हमी देत ​​नाही.

फायरफॉक्समध्ये ऑफर केलेले DoH प्रदाते निवडण्यासाठी, मागण्या विश्वासार्ह DNS निराकरणकर्त्यांना, ज्यानुसार DNS ऑपरेटर केवळ सेवेचे कार्य सुनिश्चित करण्यासाठी रिझोल्यूशनसाठी प्राप्त केलेला डेटा वापरू शकतो, 24 तासांपेक्षा जास्त काळ लॉग संग्रहित करू नये, तृतीय पक्षांना डेटा हस्तांतरित करू शकत नाही आणि याबद्दल माहिती उघड करण्यास बांधील आहे डेटा प्रोसेसिंग पद्धती. सेवेने कायद्याद्वारे प्रदान केलेल्या परिस्थितींशिवाय, सेन्सॉर, फिल्टर, DNS रहदारीमध्ये हस्तक्षेप किंवा अवरोधित न करण्याबद्दल सहमत असणे आवश्यक आहे.

DoH सावधगिरीने वापरावे. उदाहरणार्थ, रशियन फेडरेशनमध्ये, फायरफॉक्समध्ये ऑफर केलेल्या डीफॉल्ट DoH सर्व्हर mozilla.cloudflare-dns.com शी संबंधित IP पत्ते 104.16.248.249 आणि 104.16.249.249, सूचीबद्ध в याद्या अवरोधित करणे Roskomnadzor 10.06.2013 रोजी स्टॅव्ह्रोपोल न्यायालयाच्या विनंतीनुसार.

पालक नियंत्रण प्रणाली, कॉर्पोरेट सिस्टीममधील अंतर्गत नेमस्पेसेसमध्ये प्रवेश, सामग्री वितरण ऑप्टिमायझेशन सिस्टममधील मार्ग निवड आणि बेकायदेशीर सामग्रीचे वितरण आणि शोषणाचा मुकाबला करण्याच्या क्षेत्रातील न्यायालयीन आदेशांचे पालन यासारख्या क्षेत्रांमध्ये DoH समस्या निर्माण करू शकते. अल्पवयीन अशा समस्यांपासून बचाव करण्यासाठी, एक चेक सिस्टम लागू केली गेली आहे आणि चाचणी केली गेली आहे जी काही विशिष्ट परिस्थितीत DoH स्वयंचलितपणे अक्षम करते.

एंटरप्राइझ रिझोल्व्हर ओळखण्यासाठी, अॅटिपिकल फर्स्ट-लेव्हल डोमेन (TLDs) तपासले जातात आणि सिस्टम रिझोल्व्हर इंट्रानेट पत्ते परत करतो. पालक नियंत्रणे सक्षम आहेत की नाही हे निर्धारित करण्यासाठी, exampleadultsite.com नावाचे निराकरण करण्याचा प्रयत्न केला जातो आणि परिणाम वास्तविक IP शी जुळत नसल्यास, DNS स्तरावर प्रौढ सामग्री अवरोधित करणे सक्रिय असल्याचे मानले जाते. Google आणि YouTube IP पत्ते restrict.youtube.com,forceafesearch.google.com आणि restrictmoderate.youtube.com ने बदलले आहेत की नाही हे पाहण्यासाठी चिन्हे म्हणून देखील तपासले जातात. हे चेक हल्लेखोरांना परवानगी देतात जे रिझोल्व्हरचे ऑपरेशन नियंत्रित करतात किंवा ट्रॅफिकमध्ये हस्तक्षेप करण्यास सक्षम आहेत DNS ट्रॅफिकचे एनक्रिप्शन अक्षम करण्यासाठी अशा वर्तनाचे अनुकरण करण्यासाठी.

एकाच DoH सेवेद्वारे काम केल्याने सामग्री वितरण नेटवर्कमध्ये ट्रॅफिक ऑप्टिमायझेशनसह समस्या उद्भवू शकतात जे DNS वापरून रहदारी संतुलित करतात (CDN नेटवर्कचा DNS सर्व्हर रिझोल्व्हर पत्ता विचारात घेऊन प्रतिसाद निर्माण करतो आणि सामग्री प्राप्त करण्यासाठी सर्वात जवळचे होस्ट प्रदान करतो). अशा CDN मध्ये वापरकर्त्याच्या सर्वात जवळच्या रिझोल्व्हरकडून DNS क्वेरी पाठवल्याने वापरकर्त्याच्या सर्वात जवळच्या होस्टचा पत्ता परत केला जातो, परंतु केंद्रीकृत रिझोल्व्हरकडून DNS क्वेरी पाठवल्याने DNS-over-HTTPS सर्व्हरच्या सर्वात जवळचा होस्ट पत्ता मिळेल. . सरावातील चाचणीवरून असे दिसून आले की सीडीएन वापरताना डीएनएस-ओव्हर-एचटीटीपीचा वापर केल्याने सामग्री हस्तांतरण सुरू होण्यापूर्वी अक्षरशः विलंब झाला नाही (जलद कनेक्शनसाठी, विलंब 10 मिलीसेकंदांपेक्षा जास्त नव्हता, आणि धीमे संप्रेषण चॅनेलवर देखील जलद कामगिरी दिसून आली. ). CDN रिझॉल्व्हरला क्लायंट स्थान माहिती प्रदान करण्यासाठी EDNS क्लायंट सबनेट विस्ताराचा वापर देखील विचारात घेतला गेला.

स्त्रोत: opennet.ru