Os desenvolvedores do servidor DNS BIND anunciaram a adi\u00e7\u00e3o, na ramifica\u00e7\u00e3o experimental 9.17, do suporte ao servidor das tecnologias \"DNS sobre HTTPS\" (DoH, DNS over HTTPS) e DNS sobre TLS (DoT, DNS over TLS), bem como do mecanismo XFR-over-TLS para transmiss\u00e3o segura de conte\u00fado de zonas DNS entre servidores. DoH est\u00e1 dispon\u00edvel para testes na vers\u00e3o 9.17.10, enquanto o suporte ao DoT est\u00e1 presente desde a vers\u00e3o 9.17.7. Ap\u00f3s a estabiliza\u00e7\u00e3o, o suporte ao DoT e DoH ser\u00e1 transferido para a ramifica\u00e7\u00e3o est\u00e1vel 9.16. <\/p>\n
A implementa\u00e7\u00e3o do protocolo HTTP\/2, utilizado no DoH, baseia-se na aplica\u00e7\u00e3o da biblioteca nghttp2, que est\u00e1 entre as depend\u00eancias de compila\u00e7\u00e3o (posteriormente, a biblioteca deve ser transferida para as depend\u00eancias opcionais). Conex\u00f5es tanto criptografadas (TLS) quanto n\u00e3o criptografadas via HTTP\/2 s\u00e3o suportadas. Com as configura\u00e7\u00f5es adequadas, um processo named agora pode atender n\u00e3o apenas \u00e0s solicita\u00e7\u00f5es DNS tradicionais, mas tamb\u00e9m \u00e0s solicita\u00e7\u00f5es enviadas usando DoH (DNS-over-HTTPS) e DoT (DNS-over-TLS). O suporte a HTTPS no lado do cliente (dig) ainda n\u00e3o foi implementado. O suporte ao XFR-over-TLS est\u00e1 dispon\u00edvel tanto para solicita\u00e7\u00f5es de entrada quanto para solicita\u00e7\u00f5es de sa\u00edda. <\/p>\n
O processamento de solicita\u00e7\u00f5es usando DoH e DoT \u00e9 ativado atrav\u00e9s da adi\u00e7\u00e3o das op\u00e7\u00f5es http e tls na diretiva listen-on. Para suportar DNS n\u00e3o criptografado sobre HTTP, as configura\u00e7\u00f5es devem especificar \"tls none\". As chaves s\u00e3o definidas na se\u00e7\u00e3o \"tls\". As portas padr\u00e3o de rede 853 para DoT, 443 para DoH e 80 para DNS-over-HTTP podem ser substitu\u00eddas pelos par\u00e2metros tls-port, https-port e http-port. Por exemplo: tls local-tls { key-file \"\/path\/to\/priv_key.pem\"; cert-file \"\/path\/to\/cert_chain.pem\"; }; http local-http-server { endpoints { \"\/dns-query\"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Entre as caracter\u00edsticas da implementa\u00e7\u00e3o do DoH no BIND, destaca-se a integra\u00e7\u00e3o como um transporte comum, que pode ser aplicado n\u00e3o apenas para o tratamento de solicita\u00e7\u00f5es dos clientes ao resolvedor, mas tamb\u00e9m na troca de dados entre servidores, na transmiss\u00e3o de zonas pelo servidor DNS autoritativo e ao processar quaisquer solicita\u00e7\u00f5es suportadas por outros transportes DNS. <\/p>\n
Outra caracter\u00edstica \u00e9 a possibilidade de transferir opera\u00e7\u00f5es de criptografia para TLS para outro servidor, o que pode ser necess\u00e1rio em condi\u00e7\u00f5es onde os certificados TLS s\u00e3o armazenados em outro sistema (por exemplo, em uma infraestrutura com servidores web) e gerenciados por outra equipe. O suporte a DNS n\u00e3o criptografado sobre HTTP foi implementado para simplificar a depura\u00e7\u00e3o e como um n\u00edvel para encaminhamento em uma rede interna, baseado no qual a criptografia pode ser organizada em outro servidor. No servidor externo, o nginx pode ser usado para formar o tr\u00e1fego TLS, de maneira semelhante \u00e0 forma como a liga\u00e7\u00e3o HTTPS \u00e9 organizada para sites. <\/p>\n
Vale lembrar que o DNS-over-HTTPS pode ser \u00fatil para eliminar vazamentos de informa\u00e7\u00f5es sobre os nomes de hosts solicitados atrav\u00e9s dos servidores DNS dos provedores, combater ataques MITM e a substitui\u00e7\u00e3o do tr\u00e1fego DNS (por exemplo, ao se conectar a Wi-Fi p\u00fablico), e enfrentar bloqueios a n\u00edvel de DNS (o DNS-over-HTTPS n\u00e3o pode substituir VPN<\/a> no \u00e2mbito da supera\u00e7\u00e3o de bloqueios implementados a n\u00edvel de DPI) ou para possibilitar o funcionamento em caso de impossibilidade de conex\u00e3o direta aos servidores DNS (por exemplo, ao operar atrav\u00e9s de um proxy). Se em uma situa\u00e7\u00e3o comum as solicita\u00e7\u00f5es DNS s\u00e3o enviadas diretamente para os servidores DNS especificados na configura\u00e7\u00e3o do sistema, no caso do DNS-over-HTTPS a solicita\u00e7\u00e3o para determinar endere\u00e7os IP<\/a> o host \u00e9 encapsulada no tr\u00e1fego HTTPS e enviada para o servidor HTTP, onde o resolvedor processa as solicita\u00e7\u00f5es atrav\u00e9s da API Web. <\/p>\n