Desenvolvedores do Firefox sobre a conclusão dos testes de suporte ao DNS sobre HTTPS (DoH, DNS over HTTPS) e a intenção de ativar essa tecnologia por padrão para usuários nos Estados Unidos no final de setembro. A ativação será gradual, inicialmente para uma pequena porcentagem de usuários, aumentando até 100% se não houver problemas. Após a cobertura dos Estados Unidos, será considerada a possibilidade de ativar o DoH em outros países.
Os testes realizados ao longo do ano mostraram a confiabilidade e o bom desempenho do serviço, além de identificar algumas situações em que o DoH pode causar problemas e desenvolver soluções para contorná-los (por exemplo, abordagens para a otimização de tráfego em redes de entrega de conteúdo, controle parental e zonas DNS internas corporativas).
A importância da criptografia do tráfego DNS é considerada um fator crucial na proteção dos usuários, portanto, decidiu-se ativar o DoH por padrão, mas na primeira fase apenas para usuários dos Estados Unidos. Após a ativação do DoH, o usuário receberá um aviso que permitirá, se desejar, recusar o uso de servidores DNS DoH centralizados e retornar ao esquema tradicional de envio de consultas não criptografadas ao servidor DNS do provedor (ao invés da infraestrutura distribuída de resolvedores DNS, no DoH é usada a associação a um serviço DoH específico, que pode ser visto como um único ponto de falha).
Com a ativação do DoH, pode haver interrupções em sistemas de controle parental e redes corporativas que utilizam uma estrutura de nomes DNS acessível apenas para a rede interna para a conversão de endereços intranet e hosts corporativos. Para resolver problemas com esses sistemas, foi adicionada uma verificação que desativa automaticamente o DoH. As verificações são realizadas a cada inicialização do navegador ou ao detectar uma mudança na sub-rede.
O retorno automático ao uso do resolvedor padrão do sistema também é previsto em caso de falhas na resolução através do DoH (por exemplo, em caso de interrupções na acessibilidade da rede com o provedor de DoH ou falhas em sua infraestrutura). O sentido dessas verificações é duvidoso, uma vez que nada impede atacantes que controlam o funcionamento do resolvedor ou que conseguem interferir no tráfego, de simular esse comportamento para desativar a criptografia do tráfego DNS. O problema foi resolvido com a adição de uma opção nas configurações chamada "DoH sempre" (não ativada por padrão), ao ser habilitada, a desativação automática não é aplicada, o que é um compromisso razoável.
Para identificar resolvedores corporativos, são realizadas verificações de domínios de nível superior (TLD) não usuais e o retorno de endereços intranet pelo resolvedor do sistema. Para verificar a ativação do controle parental, é feita uma tentativa de resolução do nome exampleadultsite.com e se o resultado não coincide com o IP real, considera-se que a bloqueio de conteúdo adulto está ativo a nível de DNS. Também são verificados os endereços IP do Google e do YouTube quanto à sua substituição por restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com. Além disso, Mozilla implementar um host de verificação unificado , que pode ser utilizado por provedores de internet e serviços de controle parental como um marcador para desativar o DoH (se o host não for identificado, o Firefox desativa o DoH).
Trabalhar através de um serviço DoH único também pode potencialmente causar problemas na otimização do tráfego em redes de entrega de conteúdo que realizam balanceamento de tráfego usando DNS (o servidor DNS da rede CDN gera uma resposta considerando o endereço do resolvedor e fornece o host mais próximo para a obtenção de conteúdo). Enviar uma consulta DNS do resolvedor mais próximo do usuário em tais CDNs resulta na devolução do endereço do host mais próximo, mas ao enviar uma consulta DNS de um resolvedor centralizado, será fornecido o endereço do host mais próximo do servidor DNS-over-HTTPS. Testes práticos mostraram que a aplicação do DNS-over-HTTP ao usar CDN praticamente não causou atrasos antes do início da transmissão do conteúdo (para conexões rápidas, os atrasos não excederam 10 milissegundos, enquanto em canais de comunicação mais lentos, observou-se até uma aceleração do trabalho). Para transmitir ao resolvedor CDN informações sobre a localização do cliente, também foi considerada a aplicação da extensão EDNS Client Subnet.
Lembramos que o DoH pode ser útil para evitar vazamentos de informações sobre os nomes de hosts solicitados através dos servidores DNS dos provedores, combater ataques MITM e a substituição do tráfego DNS, enfrentar bloqueios em nível DNS ou para organizar o funcionamento em caso de impossibilidade de acesso direto aos servidores DNS (por exemplo, ao trabalhar através de um proxy). Se, em uma situação normal, as consultas DNS são enviadas diretamente para servidores DNS definidos na configuração do sistema, no caso do DoH, a consulta para determinar o endereço IP do host é encapsulada no tráfego HTTPS e enviada a um servidor HTTP, onde o resolvedor processa as solicitações através de API Web. O padrão existente DNSSEC utiliza criptografia apenas para autenticar o cliente e o servidor, mas não protege o tráfego contra interceptação e não garante a privacidade das solicitações.
Para ativar o DoH no about:config, é necessário alterar o valor da variável network.trr.mode, que é suportada a partir do Firefox 60. O valor 0 desativa completamente o DoH; 1 utiliza DNS ou DoH, dependendo de qual for mais rápido; 2 usa DoH por padrão, com DNS como opção de reserva; 3 usa apenas DoH; 4 é o modo de espelhamento em que o DoH e o DNS são utilizados em paralelo. Por padrão, o servidor DNS da CloudFlare é usado, mas pode ser alterado através da configuração network.trr.uri, por exemplo, pode-se definir "https://dns.google.com/experimental" ou "https://9.9.9.9/dns-query".
Fonte: opennet.ru
