Associações Comerciais , e , defendendo os interesses dos provedores de internet, com o Congresso dos EUA pedindo atenção para o problema da implementação de "DNS sobre HTTPS" (DoH, DNS over HTTPS) e solicitando ao Google informações detalhadas sobre os planos atuais e futuros para a inclusão do DoH em seus produtos, além de obter um compromisso de não habilitar por padrão o processamento centralizado de consultas DNS no Chrome e Android sem uma ampla discussão prévia com outros participantes do ecossistema e consideração das possíveis consequências negativas.
Entendendo o benefício geral do uso de criptografia para o tráfego DNS, as associações consideram inaceitável a concentração de controle sobre a resolução de nomes em uma única entidade e a vinculação desse mecanismo por padrão aos serviços DNS centralizados. Em particular, argumenta-se que o Google está se movendo para a implementação do DoH por padrão no Android e no Chrome, o que, caso vinculado aos servidores do Google, levará a uma violação da natureza descentralizada da infraestrutura DNS e à criação de um ponto único de falha.
Dado que o Chrome e o Android dominam o mercado, a imposição de seus servidores DoH permitirá que o Google controle a maior parte do fluxo de consultas DNS dos usuários. Além de reduzir a confiabilidade da infraestrutura, tal medida também proporcionará ao Google vantagens injustas sobre os concorrentes, uma vez que a empresa obterá informações adicionais sobre as atividades dos usuários, que podem ser utilizadas para rastrear comportamentos e personalizar anúncios.
A implementação do DoH também pode comprometer o funcionamento em áreas como sistemas de controle parental, acesso a espaços de nomes internos em sistemas corporativos, escolha de rotas em sistemas de otimização de entrega de conteúdo e cumprimento de ordens judiciais na luta contra a disseminação de conteúdo ilegal e exploração de menores. A manipulação de DNS também é frequentemente utilizada para redirecionar usuários a páginas informando sobre a falta de crédito do assinante ou para acesso a redes sem fio.
A empresa Google , que as preocupações são infundadas, já que não pretende habilitar o DoH por padrão no Chrome e no Android. No Chrome 78, a ativação experimental do DoH por padrão abrangerá apenas os usuários cujas configurações utilizam provedores de DNS que oferecem a opção de usar o DoH como alternativa aos DNS tradicionais. Aqueles que utilizam servidores DNS fornecidos pelo provedor de internet local continuarão a enviar consultas DNS através do resolvedor do sistema. Ou seja, as ações do Google se restringem a substituir pelo serviço equivalente do provedor atual para adotar um método seguro de operação com DNS. A ativação experimental do DoH também está prevista para o Firefox, mas, ao contrário do Google, a Mozilla define como servidor DNS por padrão o CloudFlare. Essa abordagem já causou reações por parte do projeto OpenBSD.
Lembramos que o DoH pode ser útil para evitar vazamentos de informações sobre os nomes de host solicitados através dos servidores DNS dos provedores, combater ataques MITM e a adulteração do tráfego DNS (por exemplo, ao se conectar a Wi-Fi público), enfrentar bloqueios em nível de DNS (o DoH não pode substituir uma VPN na questão de contornar bloqueios implementados no nível de DPI) ou para organizar o funcionamento no caso de não ser possível acessar diretamente os servidores DNS (por exemplo, ao trabalhar através de um proxy).
Se em uma situação normal as consultas DNS são enviadas diretamente para servidores DNS específicos configurados no sistema, no caso do DoH a consulta para determinar o endereço IP do host é encapsulada no tráfego HTTPS e enviada para um servidor HTTP, onde o resolvedor processa as solicitações através da API Web. O padrão existente DNSSEC utiliza criptografia apenas para autenticação do cliente e do servidor, mas não protege o tráfego contra interceptação e não garante a confidencialidade das consultas. Atualmente, cerca de suportam DoH.
Fonte: opennet.ru
