{"id":71411,"date":"2020-02-26T03:10:13","date_gmt":"2020-02-26T00:10:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dns-over-https-vklyuchyon-po-umolchaniyu-v-firefox-dlya-polzovatelej-iz-ssha"},"modified":"2020-03-03T16:10:46","modified_gmt":"2020-03-03T13:10:46","slug":"dns-over-https-vklyuchyon-po-umolchaniyu-v-firefox-dlya-polzovatelej-iz-ssha","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/dns-over-https-vklyuchyon-po-umolchaniyu-v-firefox-dlya-polzovatelej-iz-ssha","title":{"rendered":"DNS-over-HTTPS w\u0142\u0105czone domy\u015blnie w Firefoxie dla u\u017cytkownik\u00f3w z USA","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Deweloperzy Firefox og\u0142osili<\/a><\/noindex> o w\u0142\u0105czeniu domy\u015blnego trybu DNS przez HTTPS (DoH, DNS over HTTPS) dla u\u017cytkownik\u00f3w z USA. Szyfrowanie ruchu DNS uwa\u017cane jest za kluczowy czynnik ochrony u\u017cytkownik\u00f3w. Od dzisiaj we wszystkich nowych instalacjach wykonanych przez u\u017cytkownik\u00f3w z USA, DoH jest aktywowany domy\u015blnie. Istniej\u0105cych u\u017cytkownik\u00f3w z USA planuje si\u0119 prze\u0142\u0105czy\u0107 na DoH w ci\u0105gu kilku tygodni. W Unii Europejskiej i innych krajach nie planuje si\u0119 jeszcze aktywacji DoH domy\u015blnie. nie planuj\u0105<\/a><\/noindex>.<\/p>\n

Po aktywacji DoH u\u017cytkownik otrzymuje ostrze\u017cenie, kt\u00f3re pozwala, je\u015bli zechce, zrezygnowa\u0107 z korzystania z centralizowanych serwer\u00f3w DNS DoH i wr\u00f3ci\u0107 do tradycyjnego modelu wysy\u0142ania niezaszyfrowanych zapyta\u0144 do serwera DNS providera. Zamiast rozproszonej infrastruktury resolver\u00f3w DNS, w DoH zastosowano powi\u0105zanie z okre\u015blonym serwisem DoH, kt\u00f3ry mo\u017cna traktowa\u0107 jako jedn\u0105 punkt awarii. Obecnie dost\u0119pne jest korzystanie z dw\u00f3ch dostawc\u00f3w DNS \u2014 CloudFlare (domy\u015blnie) oraz NextDNS<\/a><\/noindex>. <\/p>\n

\"DNS-over-HTTPS<\/a><\/noindex><\/center><\/p>\n

Zmie\u0144 dostawc\u0119 lub wy\u0142\u0105cz DoH mo\u017cna<\/a><\/noindex> w ustawieniach po\u0142\u0105czenia sieciowego. Na przyk\u0142ad mo\u017cna wskaza\u0107 alternatywny serwer DoH \u201ehttps:\/\/dns.google\/dns-query\u201d do kontaktu z serwerami Google, \u201ehttps:\/\/dns.quad9.net\/dns-query\u201d \u2014 Quad9 oraz \u201ehttps:\/\/doh.opendns.com\/dns-query\u201d \u2014 OpenDNS. W about:config r\u00f3wnie\u017c przewidziano ustawienie network.trr.mode, przez kt\u00f3re mo\u017cna zmieni\u0107 tryb dzia\u0142ania DoH: warto\u015b\u0107 0 ca\u0142kowicie wy\u0142\u0105cza DoH; 1 \u2014 do wykorzystania DNS lub DoH, w zale\u017cno\u015bci od tego, co jest szybsze; 2 \u2014 DoH jest u\u017cywane domy\u015blnie, a DNS jako opcja zapasowa; 3 \u2014 u\u017cywane jest tylko DoH; 4 \u2014 tryb odbicia, w kt\u00f3rym DoH i DNS s\u0105 wykorzystywane r\u00f3wnolegle. <\/p>\n

Przypomnijmy, \u017ce DoH mo\u017ce okaza\u0107 si\u0119 przydatny w eliminowaniu wyciek\u00f3w informacji o \u017c\u0105danych nazwach host\u00f3w poprzez serwery DNS dostawc\u00f3w, w walce z atakami typu MITM oraz z fa\u0142szowaniem ruchu DNS (na przyk\u0142ad przy \u0142\u0105czeniu si\u0119 z publicznymi sieciami Wi-Fi), w przeciwdzia\u0142aniu blokadom na poziomie DNS (DoH nie mo\u017ce zast\u0105pi\u0107 VPN w obszarze omijania blokad realizowanych na poziomie DPI) lub w organizowaniu pracy w przypadku niemo\u017cno\u015bci bezpo\u015bredniego dost\u0119pu do serwer\u00f3w DNS (na przyk\u0142ad podczas pracy przez proxy). W standardowej sytuacji zapytania DNS s\u0105 wysy\u0142ane bezpo\u015brednio do okre\u015blonych w konfiguracji systemu serwer\u00f3w DNS, podczas gdy w przypadku DoH zapytanie o okre\u015blenie adresu IP hosta jest enkapsulowane w ruchu HTTPS i wysy\u0142ane do serwera HTTP, na kt\u00f3rym resolver obs\u0142uguje zapytania przez Web API. Istniej\u0105cy standard DNSSEC stosuje szyfrowanie jedynie w celu uwierzytelnienia klienta i serwera, ale nie chroni ruchu przed przechwyceniem i nie gwarantuje poufno\u015bci zapyta\u0144. <\/p>\n

Dla wyboru proponowanych w Firefox dostawc\u00f3w DoH sformu\u0142owano wymagania<\/a><\/noindex> do zaufanych resolver\u00f3w DNS, zgodnie z kt\u00f3rymi operator DNS mo\u017ce u\u017cywa\u0107 uzyskiwanych danych do rozwi\u0105zywania tylko w celu zapewnienia dzia\u0142ania us\u0142ugi, nie powinien przechowywa\u0107 log\u00f3w d\u0142u\u017cej ni\u017c 24 godziny, nie mo\u017ce przekazywa\u0107 danych stronom trzecim i ma obowi\u0105zek ujawni\u0107 informacje o metodach przetwarzania danych. Us\u0142uga powinna r\u00f3wnie\u017c zobowi\u0105za\u0107 si\u0119 do niecenzurowania, niefiltrowania, nieingerencji oraz nieblokowania ruchu DNS, z wyj\u0105tkiem sytuacji przewidzianych w prawie. <\/p>\n

Stosowanie DoH nale\u017cy przeprowadza\u0107 ostro\u017cnie. Na przyk\u0142ad w RF adresy IP 104.16.248.249 oraz 104.16.249.249, zwi\u0105zane z domy\u015blnym w Firefox serwerem DoH mozilla.cloudflare-dns.com, s\u0105 zablokowane<\/a><\/noindex> do lista<\/a><\/noindex> blokowania<\/a><\/noindex> Roskomnadzoru<\/a><\/noindex> na mocy orzeczenia s\u0105du w Stawropolu z dnia 10.06.2013.<\/p>\n

Zastosowanie DoH mo\u017ce r\u00f3wnie\u017c prowadzi\u0107 do problem\u00f3w w takich obszarach, jak systemy kontroli rodzicielskiej, dost\u0119p do wewn\u0119trznych przestrzeni nazw w systemach korporacyjnych, wyb\u00f3r tras w systemach optymalizacji dostarczania tre\u015bci oraz wykonywanie nakaz\u00f3w s\u0105dowych w zakresie przeciwdzia\u0142ania rozpowszechnianiu nielegalnych tre\u015bci i wykorzystywaniu nieletnich. Aby obej\u015b\u0107 te problemy, wdro\u017cono i przetestowano system kontroli, kt\u00f3ry automatycznie wy\u0142\u0105cza DoH w okre\u015blonych warunkach. <\/p>\n

W celu wykrycia korporacyjnych resolver\u00f3w przeprowadza si\u0119 kontrole nietypowych domen najwy\u017cszego poziomu (TLD) oraz zwraca si\u0119 adresy intranetowe przez systemowy resolver. Aby ustali\u0107, czy kontrola rodzicielska jest aktywna, podejmuje si\u0119 pr\u00f3b\u0119 rozwi\u0105zania nazwy exampleadultsite.com; je\u015bli wynik nie zgadza si\u0119 z rzeczywistym adresem IP, uznaje si\u0119, \u017ce blokada tre\u015bci dla doros\u0142ych jest aktywna na poziomie DNS. Jako oznaki sprawdzane s\u0105 r\u00f3wnie\u017c adresy IP Google i YouTube pod k\u0105tem ich zamiany na restrict.youtube.com, forcesafesearch.google.com oraz restrictmoderate.youtube.com. Te kontrole umo\u017cliwiaj\u0105 atakuj\u0105cym, kt\u00f3rzy kontroluj\u0105 prac\u0119 resolvera lub mog\u0105 ingerowa\u0107 w ruch, symulowanie takiego zachowania w celu wy\u0142\u0105czenia szyfrowania ruchu DNS.<\/p>\n

Praca przez wsp\u00f3lny serwis DoH mo\u017ce r\u00f3wnie\u017c potencjalnie prowadzi\u0107 do problem\u00f3w z optymalizacj\u0105 ruchu w sieciach dostarczania tre\u015bci, kt\u00f3re wykonuj\u0105 r\u00f3wnowa\u017cenie ruchu z wykorzystaniem DNS (serwer DNS sieci CDN tworzy odpowied\u017a, bior\u0105c pod uwag\u0119 adres resolvera i wydaje najbli\u017cszy host w celu uzyskania tre\u015bci). Wysy\u0142anie zapytania DNS z najbli\u017cszego do u\u017cytkownika resolvera w takich CDN ko\u0144czy si\u0119 zwr\u00f3ceniem adresu najbli\u017cszego do u\u017cytkownika hosta, ale przy wysy\u0142aniu zapytania DNS z zcentralizowanego resolvera zostanie wydany adres hosta najbli\u017cszego do serwera DNS-over-HTTPS. Testy w praktyce wykaza\u0142y, \u017ce korzystanie z DNS-over-HTTP przy u\u017cyciu CDN niemal nie wprowadza\u0142o op\u00f3\u017anie\u0144 przed rozpocz\u0119ciem przesy\u0142ania tre\u015bci (dla szybkich po\u0142\u0105cze\u0144 op\u00f3\u017anienia nie przekracza\u0142y 10 milisekund, a na wolniejszych kana\u0142ach komunikacyjnych odnotowano nawet przyspieszenie dzia\u0142ania). Aby przes\u0142a\u0107 do resolvera CDN informacje o lokalizacji klienta, rozwa\u017cano r\u00f3wnie\u017c zastosowanie rozszerzenia EDNS Client Subnet.<\/p>\n

<\/a><\/noindex><\/p>\n

\u0179r\u00f3d\u0142o: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 Firefox \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0440\u0435\u0436\u0438\u043c\u0430 DNS \u043f\u043e\u0432\u0435\u0440\u0445 HTTPS (DoH, DNS over HTTPS) \u0434\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0421\u0428\u0410. \u0428\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 DNS-\u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u0432\u0430\u0436\u043d\u044b\u0439 \u0444\u0430\u043a\u0442\u043e\u0440 \u0437\u0430\u0449\u0438\u0442\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. \u041d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0441\u0435\u0433\u043e\u0434\u043d\u044f\u0448\u043d\u0435\u0433\u043e \u0434\u043d\u044f \u0432\u043e \u0432\u0441\u0435\u0445 \u043d\u043e\u0432\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430\u0445, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438 \u0438\u0437 \u0421\u0428\u0410, DoH \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u043e\u0432\u0430\u043d \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0421\u0428\u0410 \u043f\u043b\u0430\u043d\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u043d\u0430 DoH \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":71412,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-71411","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47DNS-over-HTTPS jest domy\u015blnie w\u0142\u0105czony w Firefox dla u\u017cytkownik\u00f3w z USA | ProHoster","description":"Deweloperzy Firefox og\u0142osili, \u017ce jest to domy\u015blnie w\u0142\u0105czone.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/dns-over-https-vklyuchyon-po-umolchaniyu-v-firefox-dlya-polzovatelej-iz-ssha","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47DNS-over-HTTPS \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432 Firefox \u0434\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0421\u0428\u0410 | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 Firefox \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/dns-over-https-vklyuchyon-po-umolchaniyu-v-firefox-dlya-polzovatelej-iz-ssha","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-26T00:10:13+00:00","article:modified_time":"2020-03-03T13:10:46+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"71411","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:02:24","updated":"2022-10-03 11:24:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/71411","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=71411"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/71411\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/71412"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=71411"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=71411"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=71411"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}