Analisamos as opiniões sobre as características do DNS over HTTPS, que recentemente se tornou uma "maçã da discórdia" entre provedores de internet e desenvolvedores de navegadores.
/ Unsplash /
O cerne das divergências
Recentemente e (incluindo o Habr), frequentemente escrevem sobre o protocolo DNS over HTTPS (DoH). Ele cifra as solicitações ao servidor DNS e as respostas a elas. Essa abordagem permite ocultar os nomes dos hosts que o usuário acessa. As publicações sugerem que o novo protocolo (aprovado pelo IETF dividiu a comunidade de TI em duas facções.
Uma metade acredita que o novo protocolo aumentará a segurança da internet e o está implementando em seus aplicativos e serviços. A outra metade está convencida de que a tecnologia apenas torna o trabalho dos administradores de sistemas mais complicado. A seguir, analisaremos os argumentos de ambos os lados.
Como funciona o DoH
Antes de discutirmos por que provedores de internet e outros participantes do mercado são a favor ou contra o DNS over HTTPS, vamos resumir brevemente os princípios de seu funcionamento.
No caso do DoH, a solicitação para resolver um endereço IP é encapsulada no tráfego HTTPS. Em seguida, ela é enviada a um servidor HTTP, onde é processada por meio de uma API. Aqui está um exemplo de solicitação do RFC 8484 ():
:method = GET
:scheme = https
:authority = dnsserver.example.net
:path = /dns-query?
dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
accept = application/dns-message
Assim, o tráfego DNS fica oculto no tráfego HTTPS. O cliente e o servidor se comunicam através da porta padrão 443. Como resultado, as solicitações ao sistema de nomes de domínio permanecem anônimas.
Por que não é bem-vindo
Os oponentes do DNS over HTTPS , afirmam que o novo protocolo reduzirá a segurança das conexões. Segundo Paul Vixie, membro da equipe de desenvolvedores do DNS, será mais difícil para os administradores de sistemas bloquear sites potencialmente nocivos. Usuários comuns, por sua vez, perderão a capacidade de configurar algum controle parental nos navegadores.
A opinião de Paul é compartilhada pelos provedores de internet do Reino Unido. A legislação do país a bloquear recursos com conteúdo proibido. Mas o suporte ao DoH nos navegadores dificulta a tarefa de filtrar tráfego. Entre os críticos do novo protocolo também estão o Centro de Comunicações do Governo da Inglaterra () e a fundação Internet Watch Foundation (), que mantém um registro de recursos bloqueados.
Em nosso blog no Habr:
Especialistas observam que DNS sobre HTTPS pode se tornar uma ameaça à cibersegurança. No início de julho, especialistas em segurança da informação da Netlab o primeiro vírus a utilizar o novo protocolo para realizar ataques DDoS — . O malware utilizou DoH para obter registros de texto (TXT) e extrair URLs dos servidores de comando.
As requisições DoH criptografadas não foram reconhecidas pelo software antivírus. Especialistas em segurança da informação , que após Godlua, outros malwares invisíveis ao monitoramento passivo de DNS surgirão.
Mas nem todos são contra
Em defesa do DNS sobre HTTPS, em seu blog o engenheiro da APNIC, Geoff Houston. Segundo ele, o novo protocolo ajudará a combater ataques de hijacking de DNS, que têm se tornado cada vez mais frequentes. Esse fato um relatório de janeiro da FireEye. O desenvolvimento do protocolo também contou com o apoio de grandes empresas de TI.
No início do ano passado, o DoH começou a ser testado no Google. E há um mês, a empresa General Availability da sua versão do serviço DoH. No Google , que isso aumente a segurança dos dados pessoais na rede e proteja contra ataques MITM.
Outro desenvolvedor de navegadores — Mozilla — adota DNS sobre HTTPS desde o verão do ano passado. Ao mesmo tempo, a empresa promove ativamente a nova tecnologia no setor de TI. Por isso, a associação dos provedores Internet Services Providers Association (ISPA) a Mozilla para o prêmio "vilão da internet do ano". Em resposta, representantes da empresa , que estão desapontados com a relutância dos operadores de telecomunicações em melhorar a infraestrutura de internet obsoleta.
/ Unsplash /
Em apoio à Mozilla e alguns provedores de internet. Em particular, a British Telecom , que o novo protocolo não afetará a filtragem de conteúdo e aumentará a segurança dos usuários britânicos. Sob pressão do público, a ISPA a indicação de "vilão".
Além disso, provedores de nuvem também defenderam a adoção do DNS sobre HTTPS, por exemplo . Eles já oferecem serviços de DNS baseados no novo protocolo. A lista completa de navegadores e clientes com suporte a DoH está disponível em .
De qualquer forma, ainda não é possível falar sobre o fim do confronto entre os dois campos. Especialistas em TI preveem que, se o DNS sobre HTTPS realmente estiver destinado a se tornar parte do conjunto massivo de tecnologias da internet, isso levará .
Sobre o que mais escrevemos em nosso blog corporativo:
Fonte: habr.com
