Mozilla har lansert en tredje DNS-over-HTTPS-leverandør for Firefox

Mozilla har inngått en avtale med en tredje DNS-over-HTTPS-leverandør (DoH) for Firefox. I tillegg til de tidligere tilbudte DNS-serverne fra CloudFlare ("https://1.1.1.1/dns-query") og NextDNS (https://dns.nextdns.io/id), vil tjenesten Comcast (https://doh.xfinity.com/dns-query) også bli inkludert i innstillingene. Du kan aktivere DoH og velge leverandør i innstillingene for nettverkstilkobling.

Vi minner om at i Firefox 77 ble det inkludert en test av DNS over HTTPS ved å sende 10 prøveforespørsler fra hver klient og automatisk valg av DoH-leverandør. Denne testen måtte bli deaktivert i utgivelsen 77.0.1, ettersom den utviklet seg til en slags DDoS-angrep på tjenesten NextDNS, som ikke klarte belastningen.

De foreslåtte DoH-leverandørene i Firefox velges i henhold til kravene til pålitelige DNS-oppløsere, hvor DNS-operatøren kun kan bruke oppslagsdataene til å sikre drift av tjenesten, ikke skal lagre logger lengre enn 24 timer, ikke kan overføre data til tredjeparter og er forpliktet til å avsløre metoder for databehandling. Tjenesten skal også gi forpliktelser om ikke å sensurere, ikke filtrere, ikke gripe inn i og ikke blokkere DNS-trafikk, bortsett fra i situasjoner som er foreskrevet i lovgivningen.

Blant hendelsene knyttet til DNS-over-HTTPS kan vi også nevne beslutningen fra Apple om å implementere støtte for DNS-over-HTTPS og DNS-over-TLS i kommende utgivelser av iOS 14 og macOS 11, samt legge til støtte for tillegg i WebExtension-formatet i Safari.

Vi minner om at DoH kan være nyttig for å unngå lekkasjer av informasjon om forespurte vertsnavn gjennom DNS-servere til leverandører, for å motvirke MITM-angrep og DNS-trafikkforfalskning (for eksempel ved tilkobling til offentlige Wi-Fi), å motstå blokkering på DNS-nivå (DoH kan ikke erstatte VPN i forhold til å omgå blokkeringer som er implementert på DPI-nivå) eller for å organisere drift når direkte tilgang til DNS-servere ikke er mulig (for eksempel ved bruk av proxy). I normale situasjoner sendes DNS-forespørslene direkte til bestemte DNS-servere som definert i systemkonfigurasjonen, mens i tilfelle av DoH blir forespørselen for å bestemme IP-adressen til verten innkapslet i HTTPS-trafikk og sendt til en HTTP-server, hvor resolveren håndterer forespørslene via Web API. Den eksisterende standarden DNSSEC bruker kryptering kun for autentisering av klient og server, men beskytter ikke trafikken mot avlytting og garanterer ikke konfidensialiteten til forespørslene.

Kilde: opennet.ru