Etter to \u00e5rs utvikling har konsortiet ISC presentert den f\u00f8rste stabile utgivelsen av den nye betydelige grenen av DNS-serveren BIND 9.18. St\u00f8tte for grenen 9.18 vil bli gitt i tre \u00e5r fram til 2. kvartal 2025 som en del av en utvidet vedlikeholdsordning. St\u00f8tten for grenen 9.11 vil opph\u00f8re i mars, mens st\u00f8tten for grenen 9.16 avsluttes midt i 2023. For \u00e5 utvikle funksjonaliteten til den neste stabile versjonen av BIND er det etablert en eksperimentell gren, BIND 9.19.0. <\/p>\n
Utgivelsen av BIND 9.18.0 er bemerkelsesverdig for implementeringen av st\u00f8tte for teknologiene \u00abDNS over HTTPS\u00bb (DoH, DNS-over-HTTPS) og DNS over TLS (DoT, DNS-over-TLS), samt mekanismen XoT (XFR-over-TLS) for sikker overf\u00f8ring av DNS-zonedata mellom servere (b\u00e5de sending og mottak av soner st\u00f8ttes via XoT). Med riktige innstillinger kan en named-prosess n\u00e5 h\u00e5ndtere ikke bare tradisjonelle DNS-foresp\u00f8rsel, men ogs\u00e5 foresp\u00f8rselen sendt ved bruk av DNS-over-HTTPS og DNS-over-TLS. Klientst\u00f8tte for DNS-over-TLS er innebygd i verkt\u00f8yet dig, som kan brukes til \u00e5 sende foresp\u00f8rsel over TLS ved \u00e5 angi flagget \u00ab+tls\u00bb. <\/p>\n
Implementeringen av HTTP\/2-protokollen, som brukes i DoH, er basert p\u00e5 bruken av biblioteket nghttp2, som er inkludert i listen over valgfrie byggavhengigheter. Sertifikatene for DoH og DoT kan leveres av brukeren eller genereres automatisk under oppstart. <\/p>\n
H\u00e5ndtering av foresp\u00f8rsel ved bruk av DoH og DoT aktiveres ved \u00e5 legge til alternativene \u00abhttp\u00bb og \u00abtls\u00bb i listen-om-direktivet. For st\u00f8tte av usikret DNS-over-HTTP i innstillingene m\u00e5 \u00abtls none\u00bb angis. N\u00f8klene defineres i \u00abtls\u00bb-seksjonen. Standard nettverksporter 853 for DoT, 443 for DoH og 80 for DNS-over-HTTP kan overstyres gjennom \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0438\u043c\u0430 tls-port, https-port og http-port. Eksempel: <\/p>\n
tls local-tls { key-file \u00ab\/path\/to\/priv_key.pem\u00bb; cert-file \u00ab\/path\/to\/cert_chain.pem\u00bb; }; http local-http-server { endpoints { \u00ab\/dns-query\u00bb; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
En av funksjonene ved implementeringen av DoH i BIND er muligheten for \u00e5 flytte TLS-krypteringsoperasjoner til en annen server. Dette kan v\u00e6re n\u00f8dvendig n\u00e5r TLS-sertifikatene lagres p\u00e5 et annet system (for eksempel i et milj\u00f8 med webservere) som administreres av annet personell. St\u00f8tte for ukryptert DNS-over-HTTP er implementert for \u00e5 forenkle debugging og som et niv\u00e5 for \u00e5 videreformidle til en annen server i det interne nettverket (for \u00e5 flytte krypteringen til en separat server). P\u00e5 den eksterne serveren kan nginx brukes til \u00e5 generere TLS-trafikken, p\u00e5 samme m\u00e5te som HTTPS-tilkoblingen for nettsteder organiseres. <\/p>\n
En annen funksjon er integrasjonen av DoH som et generelt transportmiddel, som ikke bare kan brukes til \u00e5 h\u00e5ndtere foresp\u00f8rslene fra klienter til resolveren, men ogs\u00e5 ved datadeling mellom servere, ved overf\u00f8ring av soner fra autoritative DNS-servere og ved h\u00e5ndtering av enhver foresp\u00f8rsel st\u00f8ttet av andre DNS-transporter. <\/p>\n
Blant ulempene som kan kompenseres ved \u00e5 deaktivere byggingen med DoH\/DoT eller ved \u00e5 overf\u00f8re krypteringen til en annen server, er den generelle kompliseringsgraden av kodebasen \u2014 den inneholder n\u00e5 en innebygd HTTP-server og TLS-bibliotek som potensielt kan ha s\u00e5rbarheter og fungere som ekstra angrepsvektorer. Bruken av DoH \u00f8ker ogs\u00e5 trafikken. <\/p>\n
La oss minne om at DNS-over-HTTPS kan v\u00e6re nyttig for \u00e5 hindre lekkasje av informasjon om etterspurte vertsnavn gjennom DNS-servere fra leverand\u00f8rer, bekjempe MITM-angrep og forfalskning av DNS-trafikk (for eksempel n\u00e5r man kobler til offentlig Wi-Fi), motvirke blokker p\u00e5 DNS-niv\u00e5 (DNS-over-HTTPS kan ikke erstatte VPN<\/a> i forhold til \u00e5 omg\u00e5 blokker som er implementert p\u00e5 DPI-niv\u00e5) eller for \u00e5 organisere arbeid n\u00e5r direkte tilgang til DNS-servere ikke er mulig (for eksempel ved bruk av proxy). Hvis DNS-foresp\u00f8rslene vanligvis sendes direkte til systemkonfigurerte DNS-servere, s\u00e5 i tilfelle av DNS-over-HTTPS innkapsles foresp\u00f8rselen om \u00e5 bestemme IP-adresser<\/a> vertsnavnet i HTTPS-trafikken og sendes til en HTTP-server, hvor resolveren behandler foresp\u00f8rslene via Web API. <\/p>\n \u00abDNS over TLS\u00bb skiller seg fr\u00e5 \u00abDNS over HTTPS\u00bb ved bruken av den vanlege DNS-protokollen (som normalt bruker nettverksport 853), innpakka i ein kryptert kommunikasjonskanal organisert med TLS-protokollen som verifiserer verten via TLS\/SSL-sertifikat som er godkjent av eit sertifiseringsorgan. Den eksisterande standarden DNSSEC bruker kryptering berre for autentisering av klient og server, men beskyttar ikkje trafikken mot avlytting og garanterer ikkje konfidensialitet for foresp\u00f8rselar. <\/p>\n Noen andre nyheter: <\/p>\n\n