Desenvolvedores da Mozilla sobre a realização de um novo estudo em preparação para a implementação da função de consulta DNS sobre HTTPS (DoH, DNS over HTTPS). Durante o experimento, serão coletadas estatísticas sobre o uso de sistemas de controle parental e resolvedores corporativos em partes dos usuários das versões do Firefox nos EUA. É possível optar por não participar do experimento através da página "about:studies" (o estudo está listado como "Detection Logic for DNS-over-HTTPS").
Para o estudo, serão coletados dados anônimos, incluindo apenas contadores, sem a identificação de endereços e domínios específicos. Para identificar sistemas de controle parental, será enviado um pedido para determinar o nome exampleadultsite.com e, se ele não coincidir com o IP real, pode-se considerar que a filtragem de conteúdo adulto está ativa a nível de DNS. Também serão avaliados endereços IP os retornos para Google e YouTube, para verificar sua substituição por restrict.youtube.com, forcesafesearch.google.com e restrictmoderate.youtube.com.
Para identificar a utilização de resolvedores corporativos internos, os hosts detectados ao abrir sites serão verificados quanto ao uso de domínios de nível superior (TLD) incomuns e ao retorno de endereços da intranet para eles. A motivação para a realização do experimento foram preocupações de que a ativação automática do DNS-over-HTTPS poderia interromper o funcionamento dos sistemas de controle parental que operam através do DNS, além de criar problemas para usuários de redes corporativas que utilizam servidores DNS que fornecem informações sobre domínios internos, invisíveis na rede externa.
Lembramos que o DoH pode ser útil para evitar vazamentos de informações sobre os nomes de hosts solicitados através dos servidores DNS dos provedores, combater ataques MITM e a substituição do tráfego DNS, enfrentar bloqueios em nível DNS ou para organizar o funcionamento em caso de impossibilidade de acesso direto aos servidores DNS (por exemplo, ao trabalhar através de um proxy). Se, em uma situação normal, as consultas DNS são enviadas diretamente para servidores DNS definidos na configuração do sistema, no caso do DoH, a consulta para determinar o endereço IP do host é encapsulada no tráfego HTTPS e enviada a um servidor HTTP, onde o resolvedor processa as solicitações através de API Web. O padrão existente DNSSEC utiliza criptografia apenas para autenticar o cliente e o servidor, mas não protege o tráfego contra interceptação e não garante a privacidade das solicitações.
Para ativar o DoH no about:config, é necessário alterar o valor da variável network.trr.mode, que é suportada a partir do Firefox 60. O valor 0 desativa completamente o DoH; 1 utiliza DNS ou DoH, dependendo de qual for mais rápido; 2 usa DoH por padrão, com DNS como opção de reserva; 3 usa apenas DoH; 4 é o modo de espelhamento em que o DoH e o DNS são utilizados em paralelo. Por padrão, o servidor DNS da CloudFlare é usado, mas pode ser alterado através da configuração network.trr.uri, por exemplo, pode-se definir "https://dns.google.com/experimental" ou "https://9.9.9.9/dns-query".
Fonte: opennet.ru
