Desenvolvedores do Firefox sobre a ativação padrão do modo DNS sobre HTTPS (DoH, DNS over HTTPS) para usuários dos EUA. A criptografia do tráfego DNS é vista como um fator crucial na proteção dos usuários. A partir de hoje, em todas as novas instalações feitas por usuários dos EUA, o DoH será ativado por padrão. Para os usuários existentes dos EUA, está planejado a transição para o DoH nos próximos dias. Na União Europeia e em outros países, a ativação do DoH por padrão ainda não está prevista. .
Após a ativação do DoH, um alerta será exibido ao usuário, permitindo que ele opte por não se conectar aos servidores DNS DoH centralizados e retorne ao esquema tradicional de envio de solicitações não criptografadas ao servidor DNS do provedor. Em vez de uma infraestrutura distribuída de resolvers DNS, o DoH utiliza a conexão a um serviço DoH específico, que pode ser considerado um único ponto de falha. Atualmente, a operação é oferecida através de dois provedores de DNS — CloudFlare (por padrão) e .
Alterar o provedor ou desativar o DoH nas configurações de conexão de rede. Por exemplo, pode-se especificar um servidor DoH alternativo "https://dns.google/dns-query" para se conectar aos servidores do Google, "https://dns.quad9.net/dns-query" — Quad9 e "https://doh.opendns.com/dns-query" — OpenDNS. No about:config, também há a configuração network.trr.mode, que permite alterar o modo de operação do DoH: o valor 0 desativa completamente o DoH; 1 — utiliza DNS ou DoH, dependendo de qual for mais rápido; 2 — usa DoH por padrão, com DNS como opção de reserva; 3 — utiliza apenas DoH; 4 — modo de espelhamento onde DoH e DNS são utilizados paralelamente.
Lembre-se de que o DoH pode ser útil para eliminar vazamentos de informações sobre os nomes de host solicitados através dos servidores DNS dos provedores, combater ataques MITM e a substituição do tráfego DNS (por exemplo, ao se conectar a Wi-Fi público), enfrentar bloqueios em nível DNS (o DoH não pode substituir uma VPN na área de contornar bloqueios implementados em nível DPI) ou para organizar o trabalho em caso de impossibilidade de acesso direto aos servidores DNS (por exemplo, ao trabalhar através de um proxy). Se em uma situação normal as consultas DNS são enviadas diretamente para determinados servidores DNS configurados no sistema, no caso do DoH, a solicitação para determinar o endereço IP do host é encapsulada no tráfego HTTPS e enviada para um servidor HTTP, onde o resolvedor processa as solicitações através da API Web. O padrão DNSSEC existente usa criptografia apenas para autenticar o cliente e o servidor, mas não protege o tráfego contra interceptação e não garante a confidencialidade das solicitações.
Para a seleção dos provedores de DoH propostos no Firefox foram formuladas para resolvers DNS confiáveis, segundo os quais o operador de DNS pode utilizar os dados recebidos para resolução apenas para garantir o funcionamento do serviço, não deve armazenar logs por mais de 24 horas, não pode compartilhar dados com terceiros e deve divulgar informações sobre os métodos de tratamento de dados. O serviço também deve se comprometer a não censurar, filtrar, interferir ou bloquear o tráfego DNS, exceto nas situações previstas pela legislação.
O DoH deve ser aplicado com cautela. Por exemplo, na RF, os endereços IP 104.16.248.249 e 104.16.249.249, associados ao servidor DoH padrão proposto no Firefox mozilla.cloudflare-dns.com, em a pedido do tribunal da cidade de Stavropol em 10.06.2013.
A aplicação do DoH também pode causar problemas em áreas como controle parental, acesso a namespaces internos em sistemas corporativos, escolha de rotas em sistemas de otimização de entrega de conteúdo e execução de ordens judiciais para combater a disseminação de conteúdo ilegal e exploração de menores. Para contornar esses problemas, um sistema de verificações foi implementado e testado, que desativa automaticamente o DoH sob certas condições.
A identificação de resolvedores corporativos envolve verificações de domínios de primeiro nível (TLD) não convencionais e a devolução de endereços intranet por um resolvedor do sistema. Para verificar a ativação do controle parental, é feita uma tentativa de resolução do nome exampleadultsite.com e, se o resultado não coincidir com o IP real, considera-se que há uma bloqueio de conteúdo adulto a nível de DNS. Além disso, são verificados os endereços IP do Google e do YouTube para detectar possíveis substituições por restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com. Essas verificações possibilitam que atacantes, que controlam o funcionamento do resolvedor ou podem interferir no tráfego, simulem esse comportamento para desativar a criptografia do tráfego DNS.
Trabalhar através de um serviço DoH único também pode potencialmente causar problemas na otimização do tráfego em redes de entrega de conteúdo que realizam balanceamento de tráfego usando DNS (o servidor DNS da rede CDN gera uma resposta considerando o endereço do resolvedor e fornece o host mais próximo para a obtenção de conteúdo). Enviar uma consulta DNS do resolvedor mais próximo do usuário em tais CDNs resulta na devolução do endereço do host mais próximo, mas ao enviar uma consulta DNS de um resolvedor centralizado, será fornecido o endereço do host mais próximo do servidor DNS-over-HTTPS. Testes práticos mostraram que a aplicação do DNS-over-HTTP ao usar CDN praticamente não causou atrasos antes do início da transmissão do conteúdo (para conexões rápidas, os atrasos não excederam 10 milissegundos, enquanto em canais de comunicação mais lentos, observou-se até uma aceleração do trabalho). Para transmitir ao resolvedor CDN informações sobre a localização do cliente, também foi considerada a aplicação da extensão EDNS Client Subnet.
Fonte: opennet.ru
