{"id":36652,"date":"2019-10-31T22:12:57","date_gmt":"2019-10-31T19:12:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/lyubit-i-ne-lyubit-dns-over-https\/"},"modified":"2019-10-31T22:12:57","modified_gmt":"2019-10-31T19:12:57","slug":"lyubit-i-ne-lyubit-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/lyubit-i-ne-lyubit-dns-over-https","title":{"rendered":"\u201eLubi i nie lubi\u201d: DNS over HTTPS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Analizujemy opinie na temat w\u0142a\u015bciwo\u015bci dzia\u0142ania DNS over HTTPS, kt\u00f3re ostatnio sta\u0142o si\u0119 \"jab\u0142kiem niezgody\" w\u015br\u00f3d dostawc\u00f3w Internetu i tw\u00f3rc\u00f3w przegl\u0105darek.<\/p>\n

\"\u201eLubi<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Steve Halama<\/a><\/noindex><\/i><\/p>\n

Istota nieporozumie\u0144<\/h2>\n

\nOstatnio du\u017ce media<\/a><\/noindex> i portale bran\u017cowe<\/a><\/noindex> (w tym Habr), cz\u0119sto pisz\u0105 o protokole DNS over HTTPS (DoH). Szyfruje on zapytania do serwera DNS oraz odpowiedzi na nie. Takie podej\u015bcie pozwala ukry\u0107 nazwy host\u00f3w, do kt\u00f3rych odwo\u0142uje si\u0119 u\u017cytkownik. Z publikacji mo\u017cna wywnioskowa\u0107, \u017ce nowy protok\u00f3\u0142 (zatwierdzony przez IETF w 2018 roku) podzieli\u0142 spo\u0142eczno\u015b\u0107 IT na dwa obozy.<\/a><\/noindex> Jedna po\u0142owa uwa\u017ca, \u017ce nowy protok\u00f3\u0142 zwi\u0119kszy bezpiecze\u0144stwo Internetu i wdra\u017ca go w swoich aplikacjach i us\u0142ugach. Druga po\u0142owa jest przekonana, \u017ce technologia tylko komplikuje prac\u0119 administrator\u00f3w system\u00f3w. Nast\u0119pnie przeanalizujemy argumenty obu stron.<\/p>\n

Jak dzia\u0142a DoH <\/p>\n

Zanim przejdziemy do rozmowy o tym, dlaczego dostawcy Internetu i inni uczestnicy rynku opowiadaj\u0105 si\u0119 za lub przeciw DNS over HTTPS, kr\u00f3tko om\u00f3wimy zasady jego dzia\u0142ania.<\/h2>\n

\nW przypadku DoH zapytanie o okre\u015blenie adresu IP jest inkapsulowane w ruchu HTTPS. Nast\u0119pnie trafia do serwera HTTP, gdzie jest przetwarzane za pomoc\u0105 API. Oto przyk\u0142ad zapytania z RFC 8484 (<\/p>\n

str.6:method = GET\n :scheme = https\n :authority = dnsserver.example.net\n :path = \/dns-query?\n dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl\n bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z\n dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ\n accept = application\/dns-message<\/a><\/noindex>):<\/p>\n

   W ten spos\u00f3b ruch DNS jest ukryty w ruchu HTTPS. Klient i serwer komunikuj\u0105 si\u0119 przez standardowy port 443. W rezultacie zapytania do systemu nazw domen pozostaj\u0105 anonimowe.\n<\/code><\/pre>\n
\nDlaczego nie jest lubiany<\/p>\n
Przeciwnicy DNS over HTTPS<\/h2>\n
\n, \u017ce nowy protok\u00f3\u0142 obni\u017cy bezpiecze\u0144stwo po\u0142\u0105cze\u0144. Zgodnie z m\u00f3wi\u0105<\/a><\/noindex>Paula Vixie, cz\u0142onka zespo\u0142u deweloper\u00f3w DNS, administratorzy b\u0119d\u0105 mieli trudniej blokowa\u0107 potencjalnie szkodliwe strony. Zwykli u\u017cytkownicy strac\u0105 przy tym mo\u017cliwo\u015b\u0107 skonfigurowania tzw. kontroli rodzicielskiej w przegl\u0105darkach. s\u0142owami<\/a><\/noindex> Zdanie Paula podzielaj\u0105 dostawcy Internetu w Wielkiej Brytanii. Prawo tego kraju<\/p>\n
nakazuje im blokowa\u0107 zasoby z zabronion\u0105 tre\u015bci\u0105. Jednak wsparcie dla DoH w przegl\u0105darkach komplikuje zadanie filtrowania ruchu. W\u015br\u00f3d krytyk\u00f3w nowego protoko\u0142u znajduj\u0105 si\u0119 r\u00f3wnie\u017c Centrum rz\u0105dowej komunikacji Anglii (<\/a><\/noindex> GCHQ) oraz fundacja Internet Watch Foundation (<\/a><\/noindex>IWF), kt\u00f3ra prowadzi rejestr zablokowanych zasob\u00f3w.<\/a><\/noindex>Na naszym blogu na Habrze:<\/p>\n
Na naszym blogu na Habra:<\/b><\/p>\n