‘Houdt van en houdt niet van’: DNS over HTTPS

We examine opinions regarding the features of DNS over HTTPS, which have recently become a "bone of contention" among internet providers and browser developers.

/ Unsplash / Steve Halama

Essence of the Disagreements

Recently major media outlets en thematic platforms (including Habr), frequently write about the DNS over HTTPS (DoH) protocol. It encrypts requests to the DNS server and the responses to those requests. This approach allows users' hostnames to be concealed. From the publications, it can be concluded that the new protocol (approved by IETF in 2018) has divided the IT community into two camps.

Half believe that the new protocol will enhance internet security and are implementing it in their applications and services. The other half is convinced that the technology only complicates the work of system administrators. Next, we will analyze the arguments from both sides.

How DoH Works

Before discussing why internet providers and other market participants support or oppose DNS over HTTPS, let's briefly review its operational principles.

In the case of DoH, the request for the IP address definition is encapsulated in HTTPS traffic. It then goes to the HTTP server, where it is processed via API. Here's an example of a request from RFC 8484 (p.6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Thus, DNS traffic is hidden within HTTPS traffic. The client and server communicate over the standard port 443. As a result, requests to the domain name system remain anonymous.

Why It Is Not Well-Received

Opponents of DNS over HTTPS wordt gezegd, argue that the new protocol will reduce the security of connections. According to woord Paul Vixie, a member of the DNS development team, it will be harder for system administrators to block potentially harmful sites. Regular users will lose the ability to set up parental controls in their browsers.

Paul's opinion is shared by internet providers in the UK. The country's legislation requires them to block resources with prohibited content. However, support for DoH in browsers complicates the task of traffic filtering. Among the critics of the new protocol are the Government Communications Headquarters (GCHQ) and the Internet Watch Foundation (IWF), which maintains a registry of blocked resources.

In our blog on Habr:

• Oorlog tegen robo-oproepen in de VS - wie wint en waarom
• Britse telecombedrijven zullen compensatie aan abonnees uitkeren voor verbindingsonderbrekingen.

Experts wijzen erop dat DNS over HTTPS een bedreiging voor de cyberbeveiliging kan vormen. Begin juli meldden cybersecurityspecialisten van Netlab dat de eerste virus dat het nieuwe protocol gebruikte voor DDoS-aanvallen - Godlua. De malware maakte gebruik van DoH om tekstrecords (TXT) op te vragen en URL's van controle-servers te extraheren.

Versleutelde DoH-verzoeken werden niet herkend door antivirussoftware. Cybersecurityspecialisten maken zich zorgen, dat na Godlua andere schadelijke software zal komen die onzichtbaar is voor passieve DNS-monitoring.

Maar niet iedereen is tegen

In zijn blog pleit uitgesproken ingenieur van APNIC Geoff Houston. Volgens hem zal het nieuwe protocol helpen bij het bestrijden van DNS-hijackingaanvallen, die in de laatste tijd steeds gebruikelijker worden. Dit feit bevestigt het rapport van januari van het cybersecuritybedrijf FireEye. De ontwikkeling van het protocol werd ook gesteund door grote IT-bedrijven.

Al begin vorig jaar begon Google met de tests van DoH. En een maand geleden heeft het bedrijf heeft geïntroduceerd de General Availability-versie van zijn DoH-service geïntroduceerd. Google hoopt, dat het de veiligheid van persoonlijke gegevens op het internet zal verhogen en zal beschermen tegen MITM-aanvallen.

Een andere browserontwikkelaar - Mozilla - wordt ondersteund introduceerde DNS over HTTPS afgelopen zomer. Dit bedrijf promoot het nieuwe technologie actief binnen de IT-gemeenschap. Hiervoor werd Mozilla door de Internet Services Providers Association (ISPA) zelfs genomineerd voor de 'internet schurk van het jaar'-prijs. In reactie gaven vertegenwoordigers van het bedrijf aan opgemerkt door, dat ze teleurgesteld zijn over de terughoudendheid van telecomoperators om de verouderde internetinfrastructuur te verbeteren.

/ Unsplash / TETrebbien

Ter ondersteuning van Mozilla spraken grote media en enkele internetproviders zich uit. In het bijzonder heeft British Telecom zijn van mening, dat het nieuwe protocol geen invloed zal hebben op contentfiltering en de veiligheid van Britse gebruikers zal verhogen. Onder druk van het publiek moest ISPA de ‘schurken’ nominatie intrekken.

Ook cloudproviders hebben zich uitgesproken voor de implementatie van DNS over HTTPS, bijvoorbeeld Cloudflare. Zij bieden al DNS-diensten aan op basis van het nieuwe protocol. Een volledige lijst van browsers en clients die DoH ondersteunen is te vinden op GitHub.

Hoe dan ook, het is voorlopig te vroeg om te spreken van het einde van de tegenstelling tussen de twee kampen. IT-specialisten verwachten dat als DNS over HTTPS inderdaad deel zal uitmaken van de massale stapel van internettechnologieën, dit slechts geen decennia zal duren..

Waarover schrijven we nog meer in onze bedrijfsblog:

• Hoe het netwerk van de internetprovider is opgebouwd
• Belangrijkste services in de netwerken van de internetprovider
• Convergentie en unificatie - verschillende taken op één apparaat

Bron: habr.com