Mozilla फायरफक्समा पूर्वनिर्धारित रूपमा DNS-over-HTTPS सक्षम गर्न सर्छ

फायरफक्स विकासकर्ताहरू घोषणा गरियो HTTPS (DoH, HTTPS मा DNS) मा DNS को लागि परीक्षण समर्थनको समाप्ति र सेप्टेम्बरको अन्त्यमा अमेरिकी प्रयोगकर्ताहरूका लागि पूर्वनिर्धारित रूपमा यो प्रविधि सक्षम गर्ने इरादा बारे। सक्रियता क्रमशः केही प्रतिशत प्रयोगकर्ताहरूको लागि सुरुमा, र यदि कुनै समस्याहरू छैनन् भने, क्रमशः १००% सम्म बढ्दै जानेछ। एक पटक अमेरिकाले कभर गरेपछि, DoH लाई अन्य देशहरूमा समावेश गर्न विचार गरिनेछ।

वर्षभरि गरिएका परीक्षणहरूले सेवाको विश्वसनीयता र राम्रो कार्यसम्पादन देखाएको छ, र यसले DoH ले समस्याहरू निम्त्याउन र तिनीहरूलाई रोक्न समाधानहरू विकास गर्न सक्ने केही अवस्थाहरू पहिचान गर्न सम्भव बनायो (उदाहरणका लागि, पृथक गरिएको। समस्या सामग्री वितरण नेटवर्कहरूमा ट्राफिक अनुकूलन, अभिभावकीय नियन्त्रणहरू र कर्पोरेट आन्तरिक DNS क्षेत्रहरू)।

DNS ट्राफिक इन्क्रिप्ट गर्ने महत्त्वलाई प्रयोगकर्ताहरूको सुरक्षामा मौलिक रूपमा महत्त्वपूर्ण कारकको रूपमा मूल्याङ्कन गरिएको छ, त्यसैले यसलाई पूर्वनिर्धारित रूपमा DoH सक्षम गर्ने निर्णय गरियो, तर पहिलो चरणमा संयुक्त राज्यका प्रयोगकर्ताहरूका लागि मात्र। DoH सक्रिय गरेपछि, प्रयोगकर्ताले एक चेतावनी प्राप्त गर्नेछ, जुन चाहना भएमा, केन्द्रीकृत DoH DNS सर्भरहरूलाई सम्पर्क गर्न अस्वीकार गर्न र प्रदायकको DNS सर्भरमा एन्क्रिप्ट नगरिएका अनुरोधहरू पठाउने परम्परागत योजनामा ​​फर्कन अनुमति दिनेछ (DNS समाधानकर्ताहरूको वितरित पूर्वाधारको सट्टा, DoH ले एक विशिष्ट DoH सेवामा बाध्यकारी प्रयोग गर्दछ, जसलाई असफलताको एकल बिन्दु मान्न सकिन्छ)।

यदि DoH सक्रिय छ भने, इन्ट्रानेट ठेगानाहरू र कर्पोरेट होस्टहरू समाधान गर्न आन्तरिक नेटवर्क-मात्र DNS नाम संरचना प्रयोग गर्ने अभिभावकीय नियन्त्रण प्रणालीहरू र कर्पोरेट नेटवर्कहरू अवरुद्ध हुन सक्छन्। त्यस्ता प्रणालीहरूसँग समस्याहरू समाधान गर्न, जाँचहरूको प्रणाली थपिएको छ जसले स्वचालित रूपमा DoH लाई असक्षम पार्छ। जाँचहरू प्रत्येक पटक ब्राउजर सुरु हुँदा वा सबनेट परिवर्तन पत्ता लगाउँदा प्रदर्शन गरिन्छ।

DoH मार्फत रिजोल्युसनको क्रममा असफलताहरू भएमा मानक अपरेटिङ सिस्टम रिजोल्भर प्रयोग गर्नको लागि स्वचालित फिर्ता पनि प्रदान गरिन्छ (उदाहरणका लागि, यदि DoH प्रदायकसँग नेटवर्क उपलब्धता अवरुद्ध भएको छ वा यसको पूर्वाधारमा विफलताहरू देखा पर्छन्)। त्यस्ता चेकहरूको अर्थ शंकास्पद छ, किनकि कसैले पनि आक्रमणकारीहरूलाई रोक्दैन जसले समाधानकर्ताको सञ्चालन नियन्त्रण गर्दछ वा DNS ट्राफिकको इन्क्रिप्सन असक्षम गर्न समान व्यवहारको अनुकरण गर्न ट्राफिकमा हस्तक्षेप गर्न सक्षम छन्। सेटिङहरूमा "DoH सधैं" वस्तु थपेर समस्या समाधान गरियो (चुपचाप रूपमा निष्क्रिय), सेट गर्दा, स्वचालित बन्द लागू हुँदैन, जुन एक उचित सम्झौता हो।

इन्टरप्राइज रिजोल्भरहरू पहिचान गर्न, atypical first-level डोमेनहरू (TLDs) जाँच गरिन्छ र प्रणाली रिजोल्भरले इन्ट्रानेट ठेगानाहरू फर्काउँछ। अभिभावकीय नियन्त्रणहरू सक्षम छन् कि छैनन् भनी निर्धारण गर्न, exampleadultsite.com नामको समाधान गर्ने प्रयास गरिन्छ र यदि नतिजा वास्तविक IP सँग मेल खाँदैन भने, यो मानिन्छ कि वयस्क सामग्री अवरुद्ध DNS स्तरमा सक्रिय छ। Google र YouTube IP ठेगानाहरू पनि restrict.youtube.com,forceafesearch.google.com र restrictmoderate.youtube.com द्वारा प्रतिस्थापन गरिएको छ कि छैन भनेर हेर्न संकेतको रूपमा जाँच गरिन्छ। अतिरिक्त मोजिला प्रस्तावहरु एकल परीक्षण होस्ट लागू गर्नुहोस् use-application-dns.net, जसलाई ISP र अभिभावकीय नियन्त्रण सेवाहरूले DoH असक्षम पार्न झण्डाको रूपमा प्रयोग गर्न सक्छन् (यदि होस्ट पत्ता लागेन भने, फायरफक्सले DoH असक्षम पार्छ)।

एकल DoH सेवा मार्फत काम गर्दा DNS (CDN नेटवर्कको DNS सर्भरले समाधानकर्ता ठेगानालाई ध्यानमा राखेर प्रतिक्रिया उत्पन्न गर्छ र सामग्री प्राप्त गर्न सबैभन्दा नजिकको होस्ट प्रदान गर्दछ) प्रयोग गरेर ट्राफिक सन्तुलन गर्ने सामग्री डेलिभरी नेटवर्कहरूमा ट्राफिक अप्टिमाइजेसनमा समस्या निम्त्याउन सक्छ। त्यस्ता CDN मा प्रयोगकर्ताको सबैभन्दा नजिकको रिजोल्भरबाट DNS क्वेरी पठाउँदा प्रयोगकर्ताको सबैभन्दा नजिकको होस्टको ठेगाना फिर्ता हुन्छ, तर केन्द्रीकृत रिजोल्भरबाट DNS क्वेरी पठाउँदा DNS-over-HTTPS सर्भरको सबैभन्दा नजिकको होस्ट ठेगाना फिर्ता हुन्छ। । अभ्यासमा परीक्षणले देखाएको छ कि CDN प्रयोग गर्दा DNS-over-HTTP को प्रयोगले सामग्री स्थानान्तरण सुरु हुनु अघि वस्तुतः कुनै ढिलाइ भएको छैन (छिटो जडानहरूको लागि, ढिलाइ 10 मिलिसेकेन्ड भन्दा बढी थिएन, र ढिलो संचार च्यानलहरूमा पनि छिटो प्रदर्शन देखियो। )। EDNS क्लाइन्ट सबनेट विस्तारको प्रयोगलाई CDN समाधानकर्तालाई ग्राहक स्थान जानकारी प्रदान गर्न पनि विचार गरियो।

हामीलाई याद गरौं कि DoH प्रदायकहरूको DNS सर्भरहरू मार्फत अनुरोध गरिएको होस्ट नामहरूको बारेमा जानकारी चुहावट रोक्न, MITM आक्रमणहरू र DNS ट्राफिकको स्पूफिंग, DNS स्तरमा रोक लगाउने काउन्टर गर्न, वा घटनामा काम व्यवस्थित गर्न उपयोगी हुन सक्छ। DNS सर्भरहरू सीधा पहुँच गर्न असम्भव छ (उदाहरणका लागि, प्रोक्सी मार्फत काम गर्दा)। यदि सामान्य अवस्थामा DNS अनुरोधहरू सिधै प्रणाली कन्फिगरेसनमा परिभाषित DNS सर्भरहरूमा पठाइन्छ, तब DoH को मामलामा, होस्टको IP ठेगाना निर्धारण गर्ने अनुरोध HTTPS ट्राफिकमा समेटिएको हुन्छ र HTTP सर्भरमा पठाइन्छ, जहाँ रिजोल्भर प्रक्रिया हुन्छ। वेब API मार्फत अनुरोधहरू। अवस्थित DNSSEC मानकले ग्राहक र सर्भरलाई प्रमाणीकरण गर्न मात्र इन्क्रिप्सन प्रयोग गर्दछ, तर ट्राफिकलाई अवरोधबाट जोगाउँदैन र अनुरोधहरूको गोपनीयताको ग्यारेन्टी गर्दैन।

लगभग: कन्फिगरेसनमा DoH सक्षम गर्न, तपाईंले network.trr.mode चरको मान परिवर्तन गर्नुपर्छ, जुन Firefox 60 देखि समर्थित छ। 0 को मानले DoH लाई पूर्ण रूपमा असक्षम पार्छ; 1 - DNS वा DoH प्रयोग गरिन्छ, जुन छिटो हुन्छ; 2 - DoH पूर्वनिर्धारित रूपमा प्रयोग गरिन्छ, र DNS फलब्याक विकल्पको रूपमा प्रयोग गरिन्छ; 3 - केवल DoH प्रयोग गरिन्छ; 4 - मिररिङ मोड जसमा DoH र DNS समानान्तरमा प्रयोग गरिन्छ। पूर्वनिर्धारित रूपमा, CloudFlare DNS सर्भर प्रयोग गरिन्छ, तर यसलाई network.trr.uri प्यारामिटर मार्फत परिवर्तन गर्न सकिन्छ, उदाहरणका लागि, तपाईंले "https://dns.google.com/experimental" वा "https://9.9.9.9" सेट गर्न सक्नुहुन्छ। .XNUMX/dns-query "

स्रोत: opennet.ru