Mozilla går over til å inkludere DNS-over-HTTPS som standard i Firefox.

Firefox-utviklarar om at 59 nye organisasjoner har blitt med i fellesskapet. I slutten av mai har antallet deltakere i fondet om å avslutte testingen av støtte for DNS over HTTPS (DoH) og planen om å aktivere denne teknologien som standard for brukere i USA i slutten av september. Aktiveringen vil skje gradvis, først for noen prosent av brukerne, og hvis det ikke oppstår problemer, vil det gradvis utvides til 100%. Etter at USA er dekket, vil muligheten for å aktivere DoH i andre land bli vurdert.

Testene som er gjennomført i løpet av året har vist at tjenesten er pålitelig og gir god ytelse, samt avdekket enkelte situasjoner der DoH kan føre til problemer, og utviklet løsninger for å omgå disse (for eksempel har det blitt sett nærmere på problem optimalisering av trafikk i innholdsleveringsnettverk, foreldrekontroll og interne DNS-soner for bedrifter).

Viktigheten av å kryptere DNS-trafikk vurderes som en prinsipiell viktig faktor for å beskytte brukerne, derfor har det blitt besluttet å aktivere DoH som standard, men i første omgang kun for brukere i USA. Etter aktivering av DoH vil brukeren få en advarsel som gir mulighet til å avvise å bruke sentraliserte DoH-DNS-servere og gå tilbake til den tradisjonelle metoden for å sende ukrypterte forespørsel til internettleverandørens DNS-server (i motsetning til den distribuerte infrastrukturen av DNS-resolvere, der DoH er knyttet til en spesifikk DoH-tjeneste, som kan betraktes som et enkelt feilpunkt).

Ved aktivering av DoH kan det oppstå problemer med foreldrekontrollsystemer og bedriftsnettverk som bruker en navnestruktur for DNS som kun er tilgjengelig for interne nettverk for å konvertere intranet-adresser og bedriftsverter. For å løse problemer med slike systemer er det lagt til et checks-system som automatisk deaktiverer DoH. Sjekkene kjøres hver gang nettleseren startes eller når endringer i subnettet oppdages.

Automatisk tilbakevending til bruken av systemets standard resolver er også forutsatt ved feil under oppløsning gjennom DoH (for eksempel ved brudd på nettverksadgang med DoH-leverandøren eller ved feil i infrastrukturen hans). Meningen med slike kontroller er tvilsom, da ingenting hindrer angripere, som kontrollerer resolverens virksomhet eller kan blande seg inn i trafikken, fra å simulere slik oppførsel for å deaktivere kryptering av DNS-trafikk. Problemet er løst ved å legge til et alternativ i innstillingene for «DoH always» (som standard inaktiv), der aktivering av dette alternativet innebærer at automatisk deaktivering ikke brukes, noe som er et fornuftig kompromiss.

For å identifisere bedriftsresolvere foretas kontroller av uspesifiserte toppdomener (TLD) og retur av intranett-adresser fra systemets resolver. For å sjekke om foreldrekontroll er aktivert, forsøkes det å løse navnet exampleadultsite.com, og hvis resultatet ikke samsvarer med den faktiske IP-en, regnes det som at blokkering av vokseninnhold er aktivert på DNS-nivå. Som kjennetegn sjekkes også IP-adressene til Google og YouTube for å se etter erstatning med restrict.youtube.com, forcesafesearch.google.com og restrictmoderate.youtube.com. I tillegg Mozilla tilbyr implementer en felles verifiseringsvert use-application-dns.net, som kan brukes av internettleverandører og foreldrekontrolltjenester som et merke for å deaktivere DoH (hvis verten ikke bestemmes, deaktiverer Firefox DoH).

Å bruke en felles DoH-tjeneste kan også potensielt føre til problemer med trafikkoptimalisering i innholdsleveringsnettverk, som utfører trafikkbalansering ved hjelp av DNS (CDN-nettverkets DNS-server genererer et svar basert på oppløserens adresse og gir nærmeste vert for å hente innhold). Sending av DNS-forespørselen fra den nærmeste oppløsningen til brukeren i slike CDN resulterer i tilbakeføring av adressen til den nærmeste verten, mens sending av DNS-forespørselen fra en sentralisert oppløser vil gi adressen til verten som er nærmest DNS-over-HTTPS-serveren. Praktisk testing har vist at bruk av DNS-over-HTTP med CDN i stort sett ikke medfører forsinkelser før overføring av innhold (for raske forbindelser overgikk ikke forsinkelsene 10 millisekunder, mens på langsomme forbindelser ble det til og med sett en hastighetsøkning). For å overføre informasjon om klientens plassering til CDN-oppløsere, ble også bruken av EDNS Client Subnet-utvidelsen vurdert.

Vi minner om at DoH kan være nyttig for å forhindre lekkasjer av informasjon om forespurte vertsnavn gjennom DNS-servere fra leverandører, bekjempe MITM-angrep og forfalskning av DNS-trafikk, motvirke blokkeringer på DNS-nivå, eller for å muliggjøre drift i tilfeller der direkte tilkallinger til DNS-serverne ikke er mulig (for eksempel ved bruk av proxy). I en vanlig situasjon sendes DNS-forespørslene direkte til spesifikasjonene i systemkonfigurasjonen DNS-servere, mens i tilfelle DoH blir forespørselen om å bestemme verts-IP-adressen inkapslet i HTTPS-trafikk og sendt til HTTP-serveren, der oppløseren behandler forespørslene via Web API. Den eksisterende standarden DNSSEC bruker kryptering kun for autentisering av klient og server, men beskytter ikke trafikken mot avlytting og garanterer ikke konfidensialiteten til forespørslene.

For enabling DoH in about:config, you need to change the value of the variable network.trr.mode, which is supported starting from Firefox 60. The value 0 completely disables DoH; 1 uses DNS or DoH, depending on which is faster; 2 uses DoH by default, with DNS as a backup; 3 uses only DoH; 4 is a mirroring mode where DoH and DNS are used in parallel. By default, the CloudFlare DNS server is used, but it can be changed through the network.trr.uri parameter, for example, you can set it to "https://dns.google.com/experimental" or "https://9.9.9.9/dns-query".

Kilde: opennet.ru