{"id":36652,"date":"2019-10-31T22:12:57","date_gmt":"2019-10-31T19:12:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/lyubit-i-ne-lyubit-dns-over-https\/"},"modified":"2019-10-31T22:12:57","modified_gmt":"2019-10-31T19:12:57","slug":"lyubit-i-ne-lyubit-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/lyubit-i-ne-lyubit-dns-over-https","title":{"rendered":"\u201cAma e n\u00e3o ama\u201d: DNS sobre HTTPS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Analisamos as opini\u00f5es sobre as caracter\u00edsticas do DNS over HTTPS, que recentemente se tornou uma \"ma\u00e7\u00e3 da disc\u00f3rdia\" entre provedores de internet e desenvolvedores de navegadores.<\/p>\n

\"\u201cAma<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Steve Halama<\/a><\/noindex><\/i><\/p>\n

O cerne das diverg\u00eancias<\/h2>\n

\nRecentemente grandes meios de comunica\u00e7\u00e3o<\/a><\/noindex> e plataformas especializadas<\/a><\/noindex> (incluindo o Habr), frequentemente escrevem sobre o protocolo DNS over HTTPS (DoH). Ele cifra as solicita\u00e7\u00f5es ao servidor DNS e as respostas a elas. Essa abordagem permite ocultar os nomes dos hosts que o usu\u00e1rio acessa. As publica\u00e7\u00f5es sugerem que o novo protocolo (aprovado pelo IETF em 2018)<\/a><\/noindex> dividiu a comunidade de TI em duas fac\u00e7\u00f5es.<\/p>\n

Uma metade acredita que o novo protocolo aumentar\u00e1 a seguran\u00e7a da internet e o est\u00e1 implementando em seus aplicativos e servi\u00e7os. A outra metade est\u00e1 convencida de que a tecnologia apenas torna o trabalho dos administradores de sistemas mais complicado. A seguir, analisaremos os argumentos de ambos os lados. <\/p>\n

Como funciona o DoH<\/h2>\n

\nAntes de discutirmos por que provedores de internet e outros participantes do mercado s\u00e3o a favor ou contra o DNS over HTTPS, vamos resumir brevemente os princ\u00edpios de seu funcionamento.<\/p>\n

No caso do DoH, a solicita\u00e7\u00e3o para resolver um endere\u00e7o IP \u00e9 encapsulada no tr\u00e1fego HTTPS. Em seguida, ela \u00e9 enviada a um servidor HTTP, onde \u00e9 processada por meio de uma API. Aqui est\u00e1 um exemplo de solicita\u00e7\u00e3o do RFC 8484 (p.6<\/a><\/noindex>):<\/p>\n

   :method = GET\n   :scheme = https\n   :authority = dnsserver.example.net\n   :path = \/dns-query?\n           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl\n           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z\n           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ\n   accept = application\/dns-message\n<\/code><\/pre>\n
\nAssim, o tr\u00e1fego DNS fica oculto no tr\u00e1fego HTTPS. O cliente e o servidor se comunicam atrav\u00e9s da porta padr\u00e3o 443. Como resultado, as solicita\u00e7\u00f5es ao sistema de nomes de dom\u00ednio permanecem an\u00f4nimas.<\/p>\n
Por que n\u00e3o \u00e9 bem-vindo<\/h2>\n
\nOs oponentes do DNS over HTTPS dizem<\/a><\/noindex>, afirmam que o novo protocolo reduzir\u00e1 a seguran\u00e7a das conex\u00f5es. Segundo palavras<\/a><\/noindex> Paul Vixie, membro da equipe de desenvolvedores do DNS, ser\u00e1 mais dif\u00edcil para os administradores de sistemas bloquear sites potencialmente nocivos. Usu\u00e1rios comuns, por sua vez, perder\u00e3o a capacidade de configurar algum controle parental nos navegadores.<\/p>\n
A opini\u00e3o de Paul \u00e9 compartilhada pelos provedores de internet do Reino Unido. A legisla\u00e7\u00e3o do pa\u00eds obriga<\/a><\/noindex> a bloquear recursos com conte\u00fado proibido. Mas o suporte ao DoH nos navegadores dificulta a tarefa de filtrar tr\u00e1fego. Entre os cr\u00edticos do novo protocolo tamb\u00e9m est\u00e3o o Centro de Comunica\u00e7\u00f5es do Governo da Inglaterra (GCHQ<\/a><\/noindex>) e a funda\u00e7\u00e3o Internet Watch Foundation (IWF<\/a><\/noindex>), que mant\u00e9m um registro de recursos bloqueados.<\/p>\n
Em nosso blog no Habr:<\/b><\/p>\n