मनपर्ने र मन नपर्नेहरू: HTTPS मा DNS

हामी HTTPS मा DNS को सुविधाहरूको सम्बन्धमा रायहरू विश्लेषण गर्छौं, जुन हालै इन्टरनेट प्रदायकहरू र ब्राउजर विकासकर्ताहरू बीच "विवादको हड्डी" बनेको छ।

/ अनस्प्लास / स्टीव हलमा

असहमति को सार

हालसालै प्रमुख मिडिया и विषयगत प्लेटफर्महरू (Habr सहित), तिनीहरू प्रायः HTTPS (DoH) प्रोटोकलमा DNS को बारेमा लेख्छन्। यसले DNS सर्भरमा अनुरोधहरू र तिनीहरूलाई प्रतिक्रियाहरू इन्क्रिप्ट गर्दछ। यो दृष्टिकोणले तपाईंलाई प्रयोगकर्ताले पहुँच गर्ने होस्टहरूको नामहरू लुकाउन अनुमति दिन्छ। प्रकाशनहरूबाट हामी निष्कर्षमा पुग्न सक्छौं कि नयाँ प्रोटोकल (IETF मा अनुमोदन गरे 2018 मा) आईटी समुदायलाई दुई शिविरमा विभाजन गर्यो।

आधा विश्वास गर्छन् कि नयाँ प्रोटोकलले इन्टरनेट सुरक्षा सुधार गर्नेछ र यसलाई आफ्नो अनुप्रयोग र सेवाहरूमा लागू गर्दैछ। अर्को आधा विश्वस्त छ कि प्रविधिले मात्र प्रणाली प्रशासकहरूको कामलाई अझ गाह्रो बनाउँछ। अर्को, हामी दुवै पक्षका तर्कहरू विश्लेषण गर्नेछौं।

कसरी DoH काम गर्दछ

किन आईएसपीहरू र अन्य बजार सहभागीहरू HTTPS मा DNS को पक्षमा वा विपक्षमा छन् भन्ने कुरामा जान अघि, यसले कसरी काम गर्छ भनेर संक्षिप्त रूपमा हेरौं।

DoH को मामला मा, IP ठेगाना निर्धारण गर्न अनुरोध HTTPS ट्राफिक मा encapsulated छ। यो त्यसपछि HTTP सर्भरमा जान्छ, जहाँ यो API प्रयोग गरी प्रशोधन गरिन्छ। यहाँ RFC 8484 बाट एउटा उदाहरण अनुरोध छ (पृष्ठ 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

यसरी, DNS ट्राफिक HTTPS ट्राफिकमा लुकेको छ। ग्राहक र सर्भरले मानक पोर्ट 443 मा संचार गर्दछ। परिणाम स्वरूप, डोमेन नाम प्रणालीमा अनुरोधहरू अज्ञात रहन्छन्।

किन उहाँको पक्षमा छैन?

HTTPS मा DNS को विरोधीहरू भन्नुनयाँ प्रोटोकलले जडानहरूको सुरक्षालाई कम गर्नेछ। द्वारा को अनुसार DNS विकास टोलीका सदस्य, पॉल भिक्सीले प्रणाली प्रशासकहरूलाई सम्भावित दुर्भावनापूर्ण साइटहरू ब्लक गर्न अझ गाह्रो बनाउनेछ। साधारण प्रयोगकर्ताहरूले ब्राउजरहरूमा सशर्त अभिभावकीय नियन्त्रणहरू सेटअप गर्ने क्षमता गुमाउनेछन्।

पाउलका विचारहरू युके इन्टरनेट प्रदायकहरूले साझा गरेका छन्। देशको विधान बाध्य गर्दछ प्रतिबन्धित सामग्री भएका स्रोतहरूबाट तिनीहरूलाई रोक्नुहोस्। तर ब्राउजरहरूमा DoH को समर्थनले ट्राफिक फिल्टर गर्ने कार्यलाई जटिल बनाउँछ। नयाँ प्रोटोकलको आलोचकहरूले इङ्गल्याण्डको सरकारी सञ्चार केन्द्र पनि समावेश गर्दछ।GCHQ) र इन्टरनेट वाच फाउन्डेसन (आईएमएफ), जसले अवरुद्ध स्रोतहरूको दर्ता राख्छ।

Habré मा हाम्रो ब्लगमा:

• युएस रोबोकल युद्ध - कसले जित्दैछ र किन
• ब्रिटिश टेलिकमले सेवा अवरोधहरूको लागि ग्राहकहरूलाई क्षतिपूर्ति तिर्नेछ

विशेषज्ञहरूले नोट गरे कि HTTPS मा DNS साइबर सुरक्षा खतरा हुन सक्छ। जुलाईको सुरुमा, नेटल्याबका सूचना सुरक्षा विशेषज्ञहरू पत्ता लगाइयो DDoS आक्रमणहरू गर्न नयाँ प्रोटोकल प्रयोग गर्ने पहिलो भाइरस - Godlua। मालवेयरले पाठ रेकर्डहरू (TXT) प्राप्त गर्न र आदेश र नियन्त्रण सर्भर URL हरू निकाल्न DoH पहुँच गर्यो।

एन्क्रिप्टेड DoH अनुरोधहरू एन्टिभाइरस सफ्टवेयरद्वारा पहिचान भएनन्। सूचना सुरक्षा विशेषज्ञहरू डराउँछन्कि Godlua पछि अन्य मालवेयर आउनेछ, निष्क्रिय DNS निगरानीको लागि अदृश्य।

तर सबैजना यसको विरोध गर्दैनन्

आफ्नो ब्लगमा HTTPS मा DNS को रक्षा मा बोल्यो APNIC इन्जिनियर ज्योफ ह्युस्टन। उनका अनुसार, नयाँ प्रोटोकलले DNS अपहरण आक्रमणहरू विरुद्ध लड्न सम्भव बनाउनेछ, जुन हालै बढ्दै गएको छ। यो तथ्य पुष्टि गर्दछ साइबर सुरक्षा कम्पनी FireEye बाट जनवरी रिपोर्ट। ठूला आईटी कम्पनीहरूले पनि प्रोटोकलको विकासलाई समर्थन गरे।

गत वर्षको सुरुमा, DoH गुगलमा परीक्षण गर्न थाल्यो। र एक महिना अघि कम्पनी प्रस्तुत यसको DoH सेवाको सामान्य उपलब्धता संस्करण। Google मा आशा, यसले नेटवर्कमा व्यक्तिगत डेटाको सुरक्षा बढाउनेछ र MITM आक्रमणहरू विरुद्ध सुरक्षा गर्नेछ।

अर्को ब्राउजर विकासकर्ता - मोजिला - समर्थन गर्दछ गत गर्मी देखि HTTPS मा DNS। एकै समयमा, कम्पनी सक्रिय रूपमा आईटी वातावरणमा नयाँ प्रविधिको प्रचार गर्दैछ। यसका लागि इन्टरनेट सेवा प्रदायक संघ (ISPA) मनोनयन समेत गरेको छ Mozilla को इन्टरनेट खलनायक अफ द इयर अवार्ड। जवाफमा, कम्पनी प्रतिनिधिहरू नोट गरियो, जो आफ्नो पुरानो इन्टरनेट पूर्वाधार सुधार गर्न टेलिकम अपरेटरहरूको अनिच्छा देखेर निराश छन्।

/ अनस्प्लास / TETrebbien

मोजिला को समर्थन मा प्रमुख सञ्चारमाध्यमले बोलेका छन् र केही इन्टरनेट प्रदायकहरू। विशेष गरी, ब्रिटिश टेलिकममा विचार गर्नुहोस्नयाँ प्रोटोकलले सामग्री फिल्टरिङलाई असर गर्दैन र यूके प्रयोगकर्ताहरूको सुरक्षामा सुधार गर्नेछ। सार्वजनिक दबाब अन्तर्गत ISPA सम्झाउनु पर्यो "खलनायक" नामांकन।

क्लाउड प्रदायकहरूले HTTPS मा DNS को परिचयको वकालत गरे, उदाहरणका लागि Cloudflare। तिनीहरू पहिले नै नयाँ प्रोटोकलमा आधारित DNS सेवाहरू प्रस्ताव गर्छन्। DoH लाई समर्थन गर्ने ब्राउजर र क्लाइन्टहरूको पूर्ण सूची मा उपलब्ध छ GitHub.

जे होस्, दुई क्याम्प बीचको टकरावको अन्त्यको बारेमा कुरा गर्न सम्भव छैन। आईटी विशेषज्ञहरूले भविष्यवाणी गरेका छन् कि यदि HTTPS मा DNS मुख्यधारा इन्टरनेट टेक्नोलोजी स्ट्याकको हिस्सा बन्नको लागि हो भने, यसले लिनेछ। एक दशक भन्दा बढी.

हामी हाम्रो कर्पोरेट ब्लगमा अरू के लेख्छौं:

• कसरी इन्टरनेट प्रदायक नेटवर्क बनाइन्छ
• इन्टरनेट प्रदायक नेटवर्कहरूमा आधारभूत सेवाहरू
• अभिसरण र एकीकरण - एक उपकरणमा धेरै कार्यहरू

स्रोत: www.habr.com