DNS-over-HTTPS अमेरिकी प्रयोगकर्ताहरूको लागि फायरफक्समा पूर्वनिर्धारित रूपमा सक्षम छ

फायरफक्स विकासकर्ताहरू घोषणा गरियो अमेरिकी प्रयोगकर्ताहरूको लागि पूर्वनिर्धारित रूपमा HTTPS (DoH, HTTPS मा DNS) मोडमा DNS सक्षम गर्ने बारे। DNS ट्राफिकको इन्क्रिप्शनलाई प्रयोगकर्ताहरूको सुरक्षामा मौलिक रूपमा महत्त्वपूर्ण कारक मानिन्छ। आजदेखि, अमेरिकी प्रयोगकर्ताहरूद्वारा सबै नयाँ स्थापनाहरूमा पूर्वनिर्धारित रूपमा DoH सक्षम हुनेछ। अवस्थित अमेरिकी प्रयोगकर्ताहरूलाई केही हप्ता भित्र DoH मा स्विच गर्ने तालिका छ। युरोपेली संघ र अन्य देशहरूमा, अहिलेको लागि पूर्वनिर्धारित रूपमा DoH सक्रिय गर्नुहोस् योजना नगर्नुहोस्.

DoH सक्रिय गरिसकेपछि, प्रयोगकर्तालाई चेतावनी देखाइन्छ, जसले चाहेमा, केन्द्रीकृत DoH DNS सर्भरहरूलाई सम्पर्क गर्न अस्वीकार गर्न र प्रदायकको DNS सर्भरमा एन्क्रिप्ट नगरिएका प्रश्नहरू पठाउने परम्परागत योजनामा ​​फर्कन अनुमति दिन्छ। DNS समाधानकर्ताहरूको वितरित पूर्वाधारको सट्टा, DoH ले एक विशिष्ट DoH सेवाको लागि बाध्यकारी प्रयोग गर्दछ, जसलाई विफलताको एकल बिन्दु मान्न सकिन्छ। हाल, काम दुई DNS प्रदायकहरू मार्फत प्रस्ताव गरिएको छ - CloudFlare (पूर्वनिर्धारित) र NextDNS.

प्रदायक परिवर्तन गर्नुहोस् वा DoH असक्षम गर्नुहोस् गर्न सक्छन् नेटवर्क जडान सेटिङहरूमा। उदाहरणका लागि, तपाईंले Google सर्भरहरू पहुँच गर्न वैकल्पिक DoH सर्भर "https://dns.google/dns-query" निर्दिष्ट गर्न सक्नुहुन्छ, "https://dns.quad9.net/dns-query" - Quad9 र "https:/ /doh .opendns.com/dns-query" - OpenDNS। About:config ले network.trr.mode सेटिङ पनि प्रदान गर्दछ, जसको माध्यमबाट तपाईंले DoH अपरेटिङ मोड परिवर्तन गर्न सक्नुहुन्छ: ० को मानले पूर्ण रूपमा DoH असक्षम पार्छ; 0 - DNS वा DoH प्रयोग गरिन्छ, जुन छिटो हुन्छ; 1 - DoH पूर्वनिर्धारित रूपमा प्रयोग गरिन्छ, र DNS फलब्याक विकल्पको रूपमा प्रयोग गरिन्छ; 2 - केवल DoH प्रयोग गरिन्छ; 3 - मिररिङ मोड जसमा DoH र DNS समानान्तरमा प्रयोग गरिन्छ।

हामीलाई याद गरौं कि DoH प्रदायकहरूको DNS सर्भरहरू मार्फत अनुरोध गरिएको होस्ट नामहरूको बारेमा जानकारी चुहावट रोक्न, MITM आक्रमणहरू र DNS ट्राफिक स्पूफिंग (उदाहरणका लागि, सार्वजनिक Wi-Fi जडान गर्दा), DNS मा अवरोधहरू काउन्टर गर्नका लागि उपयोगी हुन सक्छ। स्तर (DoH ले DPI स्तरमा लागू गरिएको ब्लकिङ बाइपास गर्ने क्षेत्रमा VPN प्रतिस्थापन गर्न सक्दैन) वा यदि DNS सर्भरहरू सीधा पहुँच गर्न असम्भव छ भने कार्य व्यवस्थित गर्न (उदाहरणका लागि, प्रोक्सी मार्फत काम गर्दा)। यदि सामान्य अवस्थामा DNS अनुरोधहरू सिधै प्रणाली कन्फिगरेसनमा परिभाषित DNS सर्भरहरूमा पठाइन्छ, तब DoH को मामलामा, होस्टको IP ठेगाना निर्धारण गर्ने अनुरोध HTTPS ट्राफिकमा समेटिएको हुन्छ र HTTP सर्भरमा पठाइन्छ, जहाँ रिजोल्भर प्रक्रिया हुन्छ। वेब API मार्फत अनुरोधहरू। अवस्थित DNSSEC मानकले ग्राहक र सर्भरलाई प्रमाणीकरण गर्न मात्र इन्क्रिप्सन प्रयोग गर्दछ, तर ट्राफिकलाई अवरोधबाट जोगाउँदैन र अनुरोधहरूको गोपनीयताको ग्यारेन्टी गर्दैन।

Firefox मा प्रस्तावित DoH प्रदायकहरू चयन गर्न, माग विश्वसनीय DNS समाधानकर्ताहरूलाई, जस अनुसार DNS अपरेटरले सेवाको सञ्चालन सुनिश्चित गर्न मात्र रिजोल्युसनको लागि प्राप्त डाटा प्रयोग गर्न सक्छ, लगहरू 24 घण्टा भन्दा बढी भण्डारण गर्नु हुँदैन, तेस्रो पक्षहरूलाई डाटा स्थानान्तरण गर्न सक्दैन र जानकारी खुलासा गर्न बाध्य छ। डाटा प्रशोधन विधिहरू। सेवाले कानूनद्वारा प्रदान गरिएका परिस्थितिहरूमा बाहेक, सेन्सर, फिल्टर, हस्तक्षेप वा DNS ट्राफिकमा अवरोध नगर्न पनि सहमत हुनुपर्छ।

DoH सावधानीपूर्वक प्रयोग गर्नुपर्छ। उदाहरण को लागी, रूसी संघ मा, IP ठेगानाहरु 104.16.248.249 र 104.16.249.249 पूर्वनिर्धारित DoH सर्भर mozilla.cloudflare-dns.com Firefox मा प्रस्तावित संग सम्बन्धित, सूचीबद्ध в सूचीहरू अवरुद्ध Roskomnadzor 10.06.2013 मा Stavropol अदालत को अनुरोध मा।

DoH ले अभिभावकीय नियन्त्रण प्रणालीहरू, कर्पोरेट प्रणालीहरूमा आन्तरिक नेमस्पेसहरूमा पहुँच, सामग्री वितरण अप्टिमाइजेसन प्रणालीहरूमा मार्ग चयन, र गैरकानूनी सामग्रीको वितरण र शोषण विरुद्ध लड्ने क्षेत्रमा अदालतको आदेशहरूको पालना जस्ता क्षेत्रमा समस्याहरू निम्त्याउन सक्छ। नाबालिगहरू। त्यस्ता समस्याहरूलाई रोक्नको लागि, एक चेक प्रणाली लागू गरिएको छ र परीक्षण गरिएको छ जसले स्वचालित रूपमा DoH लाई केहि सर्तहरूमा असक्षम पार्छ।

इन्टरप्राइज रिजोल्भरहरू पहिचान गर्न, atypical first-level डोमेनहरू (TLDs) जाँच गरिन्छ र प्रणाली रिजोल्भरले इन्ट्रानेट ठेगानाहरू फर्काउँछ। अभिभावकीय नियन्त्रणहरू सक्षम छन् कि छैनन् भनी निर्धारण गर्न, exampleadultsite.com नामको समाधान गर्ने प्रयास गरिन्छ र यदि नतिजा वास्तविक IP सँग मेल खाँदैन भने, यो मानिन्छ कि वयस्क सामग्री अवरुद्ध DNS स्तरमा सक्रिय छ। Google र YouTube IP ठेगानाहरू पनि restrict.youtube.com,forceafesearch.google.com र restrictmoderate.youtube.com द्वारा प्रतिस्थापन गरिएको छ कि छैन भनेर हेर्न संकेतको रूपमा जाँच गरिन्छ। यी जाँचहरूले आक्रमणकर्ताहरूलाई अनुमति दिन्छ जसले समाधानकर्ताको सञ्चालनलाई नियन्त्रण गर्दछ वा DNS ट्राफिकको इन्क्रिप्शन असक्षम गर्न यस्तो व्यवहारको अनुकरण गर्न ट्राफिकमा हस्तक्षेप गर्न सक्षम छन्।

एकल DoH सेवा मार्फत काम गर्दा DNS (CDN नेटवर्कको DNS सर्भरले समाधानकर्ता ठेगानालाई ध्यानमा राखेर प्रतिक्रिया उत्पन्न गर्छ र सामग्री प्राप्त गर्न सबैभन्दा नजिकको होस्ट प्रदान गर्दछ) प्रयोग गरेर ट्राफिक सन्तुलन गर्ने सामग्री डेलिभरी नेटवर्कहरूमा ट्राफिक अप्टिमाइजेसनमा समस्या निम्त्याउन सक्छ। त्यस्ता CDN मा प्रयोगकर्ताको सबैभन्दा नजिकको रिजोल्भरबाट DNS क्वेरी पठाउँदा प्रयोगकर्ताको सबैभन्दा नजिकको होस्टको ठेगाना फिर्ता हुन्छ, तर केन्द्रीकृत रिजोल्भरबाट DNS क्वेरी पठाउँदा DNS-over-HTTPS सर्भरको सबैभन्दा नजिकको होस्ट ठेगाना फिर्ता हुन्छ। । अभ्यासमा परीक्षणले देखाएको छ कि CDN प्रयोग गर्दा DNS-over-HTTP को प्रयोगले सामग्री स्थानान्तरण सुरु हुनु अघि वस्तुतः कुनै ढिलाइ भएको छैन (छिटो जडानहरूको लागि, ढिलाइ 10 मिलिसेकेन्ड भन्दा बढी थिएन, र ढिलो संचार च्यानलहरूमा पनि छिटो प्रदर्शन देखियो। )। EDNS क्लाइन्ट सबनेट विस्तारको प्रयोगलाई CDN समाधानकर्तालाई ग्राहक स्थान जानकारी प्रदान गर्न पनि विचार गरियो।

स्रोत: opennet.ru