A empresa Mozilla acordo com provedores terceirizados de DNS sobre HTTPS (DoH, DNS over HTTPS) para Firefox. Além dos servidores DNS do CloudFlare sugeridos anteriormente (“https://1.1.1.1/dns-query”) e (), a configuração também incluirá o serviço Comcast (https://doh.xfinity.com/dns-query). Ative o DoH e selecione nas configurações da conexão de rede.
Lembre-se de que no Firefox 77 foi incluído um teste da verificação de DNS over HTTPS, enviando 10 pedidos de teste de cada cliente e selecionando automaticamente o provedor de DoH. Este teste teve que ser desativado na versão , pois se transformou em um tipo de ataque DDoS ao serviço NextDNS, que não suportou a carga.
Os provedores de DoH sugeridos no Firefox são selecionados de acordo com para resolvers DNS confiáveis, segundo os quais o operador de DNS pode utilizar os dados recebidos para resolução apenas para garantir o funcionamento do serviço, não deve armazenar logs por mais de 24 horas, não pode compartilhar dados com terceiros e deve divulgar informações sobre os métodos de tratamento de dados. O serviço também deve se comprometer a não censurar, filtrar, interferir ou bloquear o tráfego DNS, exceto nas situações previstas pela legislação.
Nos eventos relacionados ao DNS-over-HTTPS, também se pode destacar que a Apple implementou suporte para DNS-over-HTTPS e DNS-over-TLS nas futuras versões do iOS 14 e macOS 11, além de suporte para extensões no formato WebExtension no Safari.
Lembre-se de que o DoH pode ser útil para eliminar vazamentos de informações sobre os nomes de host solicitados através dos servidores DNS dos provedores, combater ataques MITM e a substituição do tráfego DNS (por exemplo, ao se conectar a Wi-Fi público), enfrentar bloqueios em nível DNS (o DoH não pode substituir uma VPN na área de contornar bloqueios implementados em nível DPI) ou para organizar o trabalho em caso de impossibilidade de acesso direto aos servidores DNS (por exemplo, ao trabalhar através de um proxy). Se em uma situação normal as consultas DNS são enviadas diretamente para determinados servidores DNS configurados no sistema, no caso do DoH, a solicitação para determinar o endereço IP do host é encapsulada no tráfego HTTPS e enviada para um servidor HTTP, onde o resolvedor processa as solicitações através da API Web. O padrão DNSSEC existente usa criptografia apenas para autenticar o cliente e o servidor, mas não protege o tráfego contra interceptação e não garante a confidencialidade das solicitações.
Fonte: opennet.ru
