Mozilla-ontwikkelaars Over de uitvoering van een nieuw onderzoek ter voorbereiding op de implementatie van de functie voor DNS-aanroepen via HTTPS (DoH, DNS over HTTPS). Tijdens het experiment wordt statistiek verzameld over het gebruik van ouderlijk toezicht en bedrijfsresolvers bij een deel van de gebruikers van Firefox-releaseversies in de VS. Deelname aan het experiment kan worden geweigerd via de pagina 'about:studies' (het onderzoek staat vermeld in de lijst als 'Detection Logic for DNS-over-HTTPS').
Voor het onderzoek worden geanonimiseerde gegevens verzameld, inclusief alleen tellers, zonder specifieke adressen en domeinen te vermelden. Voor de detectie van ouderlijk toezicht wordt een verzoek verzonden om de naam exampleadultsite.com te bepalen en als deze niet overeenkomt met het feitelijke IP-adres, kan worden aangenomen dat er een blokkering van volwassen inhoud op DNS-niveau actief is. Ook zullen worden beoordeeld IP-adressen de resultaten die worden teruggegeven voor Google en YouTube, ter controle op hun omleiding naar restrict.youtube.com, forcesafesearch.google.com en restrictmoderate.youtube.com.
Om het gebruik van interne bedrijfsresolvers vast te stellen, zullen de hosts die bij het openen van websites worden gedetecteerd, worden gecontroleerd op het gebruik van atypische top-level domeinen (TLD) en op het teruggeven van intranetadressen voor deze domeinen. De aanleiding voor het experiment zijn zorgen dat de standaard inschakeling van DNS-over-HTTPS problemen kan veroorzaken voor bestaande DNS-gebaseerde ouderlijktoezichtsystemen, en bovendien problemen kan creƫren voor gebruikers van bedrijfsnetwerken die DNS-servers gebruiken die informatie over interne domeinen teruggeven die niet zichtbaar zijn in het externe netwerk.
Laten we herinneren dat DoH nuttig kan zijn om lekken van gegevens over de aangevraagde hostnamen via de DNS-servers van providers te voorkomen, om te vechten tegen MITM-aanvallen en de vervalsing van DNS-verkeer, om weerstand te bieden tegen blokkades op DNS-niveau of om werking mogelijk te maken in het geval directe toegang tot DNS-servers niet mogelijk is (bijvoorbeeld bij werken via een proxy). Als in een normale situatie DNS-verzoeken rechtstreeks naar bepaalde DNS-servers in de systeemconfiguratie worden verzonden, wordt in het geval van DoH het verzoek om het IP-adres van de host ingekapseld in HTTPS-verkeer en verzonden naar een HTTP-server, waar de resolver de verzoeken via Web API verwerkt. De bestaande DNSSEC-standaard maakt alleen gebruik van encryptie voor de authenticatie van de cliƫnt en server, maar beschermt het verkeer niet tegen onderschepping en garandeert niet de vertrouwelijkheid van de verzoeken.
Om DoH in about:config in te schakelen, moet de waarde van de variabele network.trr.mode worden aangepast, die wordt ondersteund vanaf Firefox 60. Waarde 0 schakelt DoH volledig uit; 1 gebruikt DNS of DoH, afhankelijk van wat sneller is; 2 gebruikt DoH standaard en DNS als backup-optie; 3 gebruikt alleen DoH; 4 is de spiegelingsmodus waarbij DoH en DNS parallel worden gebruikt. Standaard wordt de DNS-server van CloudFlare gebruikt, maar deze kan worden gewijzigd via de parameter network.trr.uri, bijvoorbeeld kan worden ingesteld op "https://dns.google.com/experimental" of "https://9.9.9.9/dns-query".
Bron: opennet.ru
