Stowarzyszenia handlowe , i , reprezentujące interesy dostawców internetowych, do Kongresu USA z prośbą o zwrócenie uwagi na problem wdrażania „DNS over HTTPS” (DoH) oraz o uzyskanie szczegółowych informacji od Google na temat bieżących i przyszłych planów dotyczących włączenia DoH w swoich produktach, a także o zobowiązanie do niewłączania domyślnie scentralizowanego przetwarzania zapytań DNS w Chrome i Androidzie bez wcześniejszej, wszechstronnej dyskusji z innymi przedstawicielami ekosystemu oraz uwzględnienia ewentualnych negatywnych skutków.
Zrozumienie ogólnych korzyści płynących z zastosowania szyfrowania dla ruchu DNS stowarzyszenia uważają za niedopuszczalne koncentrowanie kontroli nad konwersją nazw w jednych rękach i powiązanie tego mechanizmu domyślnie z scentralizowanymi usługami DNS. W szczególności twierdzi się, że Google zmierza w kierunku wprowadzenia praktycznego stosowania DoH domyślnie w Androidzie i Chrome, co w przypadku powiązania z serwerami Google doprowadzi do naruszenia zdecentralizowanego charakteru infrastruktury DNS i stworzenia pojedynczego punktu awarii.
Ponieważ Chrome i Android dominują na rynku, w przypadku narzucenia swoich serwerów DoH Google zyska możliwość kontrolowania dużej części przepływów zapytań DNS użytkowników. Oprócz zmniejszenia niezawodności infrastruktury, taki krok zapewniłby Google nieuzasadnione przewagi nad konkurentami, ponieważ firma uzyskałaby dodatkowe informacje o działaniach użytkowników, które mogłyby być wykorzystane do śledzenia aktywności użytkowników oraz sugerowania odpowiednich reklam.
Zastosowanie DoH może także zakłócić pracę w takich obszarach, jak systemy kontroli rodzicielskiej, dostęp do wewnętrznych przestrzeni nazw w systemach korporacyjnych, wybór tras w systemach optymalizacji dostarczania treści oraz realizacja nakazów sądowych w zakresie przeciwdziałania rozpowszechnianiu nielegalnych treści i wykorzystywaniu nieletnich. Oszukiwanie DNS jest także często wykorzystywane do przekierowywania użytkowników na stronę z informacją o wyczerpaniu środków abonenta lub do logowania się do sieci bezprzewodowej.
Firma Google , dlatego obawy są nieuzasadnione, ponieważ nie zamierza domyślnie włączać DoH w Chrome i Androidzie. w Chrome 78 eksperymentalne włączenie domyślne DoH obejmie tylko użytkowników, których ustawienia wskazują dostawców DNS oferujących możliwość korzystania z DoH jako alternatywy dla tradycyjnego DNS. U tych, którzy korzystają z serwerów DNS dostarczanych przez lokalnych dostawców internetowych, zapytania DNS będą nadal wysyłane przez systemowy resolver. Tzn. działania Google sprowadzają się jedynie do zastąpienia aktualnego dostawcy równoważną usługą w celu przejścia do zabezpieczonej metody pracy z DNS. Eksperymentalne włączenie DoH planowane jest także w Firefoxie, ale w przeciwieństwie do Google, firma Mozilla domyślnym serwerem DNS CloudFlare. Takie podejście już wzbudziło ze strony projektu OpenBSD.
Przypomnijmy, że DoH może być użyteczne w celu uniknięcia wycieków informacji o zapytaniach dotyczących nazw hostów poprzez serwery DNS dostawców, walki z atakami MITM i podmienianiem ruchu DNS (np. przy łączeniu z publicznymi Wi-Fi), przeciwdziałania blokadom na poziomie DNS (DoH nie może zastąpić VPN w zakresie omijania blokad wprowadzonych na poziomie DPI) lub do organizacji pracy w przypadku braku możliwości bezpośredniego dostępu do serwerów DNS (np. działając przez proxy).
W normalnej sytuacji zapytania DNS są bezpośrednio wysyłane do określonych w konfiguracji systemu serwerów DNS, podczas gdy w przypadku DoH zapytanie o określenie adresu IP hosta jest enkapsulowane w ruchu HTTPS i wysyłane na serwer HTTP, na którym resolver przetwarza zapytania przez Web API. Obecny standard DNSSEC wykorzystuje szyfrowanie tylko do uwierzytelniania klienta i serwera, ale nie chroni ruchu przed przechwyceniem i nie gwarantuje poufności zapytań. Obecnie około obsługuje DoH.
Źródło: opennet.ru
