Firefox-ontwikkelaars over de afronding van de tests van DNS-ondersteuning over HTTPS (DoH, DNS over HTTPS) en de bedoeling om deze technologie eind september standaard in te schakelen voor gebruikers in de VS. De inschakeling zal geleidelijk plaatsvinden, eerst voor enkele procenten van de gebruikers, en bij afwezigheid van problemen zal dit geleidelijk worden uitgebreid tot 100%. Na de dekking van de VS zal de mogelijkheid om DoH in andere landen in te schakelen worden onderzocht.
De gedurende het jaar uitgevoerde tests hebben de betrouwbaarheid en goede prestaties van de dienst aangetoond, en hebben ook enkele situaties aan het licht gebracht waarin DoH problemen kan veroorzaken, en oplossingen ontwikkeld om deze te omzeilen (bijvoorbeeld, besproken met de optimalisatie van verkeer in content delivery-netwerken, ouderlijk toezicht en interne DNS-zones van bedrijven). met trafficoptimalisatie in content delivery-netwerken, ouderlijk toezicht en interne bedrijfs-DNS-zones).
De belangrijkheid van het versleutelen van DNS-verkeer wordt als een cruciale factor voor de bescherming van gebruikers beschouwd, daarom is besloten DoH standaard in te schakelen, maar in eerste instantie alleen voor gebruikers in de VS. Na het inschakelen van DoH ontvangt de gebruiker een waarschuwing die de mogelijkheid biedt om af te zien van toegang tot de gecentraliseerde DoH-DNS-servers en terug te keren naar de traditionele werkwijze voor het verzenden van ongecodeerde aanvragen naar de DNS-server van de provider (in tegenstelling tot de gedistribueerde infrastructuur van DNS-resolvers die in DoH is gebruikt, waar de binding is aan een specifieke DoH-dienst, die kan worden beschouwd als een enkel punt van falen).
Bij het inschakelen van DoH kan de werking van ouderlijk toezichtsystemen en bedrijfsnetwerken die alleen een interne netwerkstructuur van DNS-namen gebruiken om intranetadressen en bedrijfsservers te vertalen, worden verstoord. Om problemen met dergelijke systemen op te lossen is er een controlesysteem toegevoegd dat DoH automatisch uitschakelt. De controles worden uitgevoerd bij elke opstart van de browser of bij het detecteren van een subnetwijziging.
Automatische terugkeer naar het gebruik van de standaard resolver van het besturingssysteem is ook voorzien bij het optreden van storingen tijdens het resolveren via DoH (bijvoorbeeld bij netwerkproblemen met de DoH-provider of bij storingen in zijn infrastructuur). De betekenis van dergelijke controles is twijfelachtig, omdat aanvallers die de werking van de resolver controleren of in het verkeer kunnen ingrijpen, dit gedrag kunnen simuleren om de versleuteling van de DNS-verkeersgegevens uit te schakelen. Het probleem is opgelost door het toevoegen van de instelling 'DoH altijd' (standaard niet geactiveerd), waarbij de automatische uitschakeling niet van toepassing is, wat een redelijke compromis is.
Voor het bepalen van bedrijfsresolvers worden controles uitgevoerd op ongewone topleveldomeinen (TLD) en het teruggeven van intranetadressen door de systeemresolver. Voor de activatie van ouderlijk toezicht wordt geprobeerd de naam exampleadultsite.com op te lossen en als het resultaat niet overeenkomt met het werkelijke IP, wordt aangenomen dat er een blokkering van volwassen content op DNS-niveau actief is. Als indicatoren worden ook de IP-adressen van Google en YouTube gecontroleerd op vervangingen door restrict.youtube.com, forcesafesearch.google.com en restrictmoderate.youtube.com. Bovendien Mozilla een uniforme controlehost implementeren , die internetproviders en ouderlijk toezichtdiensten als label kunnen gebruiken om DoH uit te schakelen (als de host niet kan worden bepaald, schakelt Firefox DoH uit).
Werken via een enkele DoH-service kan ook potentieel leiden tot problemen met het optimaliseren van verkeer in content delivery netwerken die verkeer balanceren met behulp van DNS (de DNS-server van het CDN-netwerk genereert een antwoord op basis van het adres van de resolver en geeft de dichtstbijzijnde host voor het verkrijgen van content). Het verzenden van een DNS-verzoek vanuit de dichtstbijzijnde resolver naar de gebruiker in dergelijke CDN's leidt tot de terugkeer van het adres van de dichtstbijzijnde host voor de gebruiker, maar bij het verzenden van een DNS-verzoek vanuit een gecentraliseerde resolver zal het adres van de host worden gegeven die het dichtst bij de DNS-over-HTTPS-server ligt. Praktijktests hebben aangetoond dat het gebruik van DNS-over-HTTP met CDN's vrijwel geen vertragingen veroorzaakte voordat de contentoverdracht begon (voor snelle verbindingen overschreed de vertraging niet meer dan 10 milliseconden, terwijl op langzame verbindingen zelfs een versnelling werd waargenomen). Voor het doorgeven van informatie over de locatie van de cliƫnt aan de CDN-resolver werd ook het gebruik van de EDNS Client Subnet-uitbreiding overwogen.
Laten we herinneren dat DoH nuttig kan zijn om lekken van gegevens over de aangevraagde hostnamen via de DNS-servers van providers te voorkomen, om te vechten tegen MITM-aanvallen en de vervalsing van DNS-verkeer, om weerstand te bieden tegen blokkades op DNS-niveau of om werking mogelijk te maken in het geval directe toegang tot DNS-servers niet mogelijk is (bijvoorbeeld bij werken via een proxy). Als in een normale situatie DNS-verzoeken rechtstreeks naar bepaalde DNS-servers in de systeemconfiguratie worden verzonden, wordt in het geval van DoH het verzoek om het IP-adres van de host ingekapseld in HTTPS-verkeer en verzonden naar een HTTP-server, waar de resolver de verzoeken via Web API verwerkt. De bestaande DNSSEC-standaard maakt alleen gebruik van encryptie voor de authenticatie van de cliƫnt en server, maar beschermt het verkeer niet tegen onderschepping en garandeert niet de vertrouwelijkheid van de verzoeken.
Om DoH in about:config in te schakelen, moet de waarde van de variabele network.trr.mode worden aangepast, die wordt ondersteund vanaf Firefox 60. Waarde 0 schakelt DoH volledig uit; 1 gebruikt DNS of DoH, afhankelijk van wat sneller is; 2 gebruikt DoH standaard en DNS als backup-optie; 3 gebruikt alleen DoH; 4 is de spiegelingsmodus waarbij DoH en DNS parallel worden gebruikt. Standaard wordt de DNS-server van CloudFlare gebruikt, maar deze kan worden gewijzigd via de parameter network.trr.uri, bijvoorbeeld kan worden ingesteld op "https://dns.google.com/experimental" of "https://9.9.9.9/dns-query".
Bron: opennet.ru
