Nasleduje spoločnosť Google o zámere vykonať experiment na overenie implementácie „DNS cez HTTPS“ (DoH, DNS over HTTPS), vyvíjanej pre prehliadač Chrome. V vydaní Chrome 78, plánovanom na 22. októbra, niektoré kategórie používateľov budú mať DoH predvolene povolené. V experimente zapojenia DoH sa zúčastnia len používatelia, ktorých aktuálne systémové nastavenia určili konkrétnych poskytovateľov DNS, uznaných za kompatibilných s DoH.
Na zoznam schválených DNS poskytovateľov boli zahrnuté Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) a DNS.SB (185.222.222.222, 185.184.222.222). Ak má používateľ v nastaveniach DNS uvedený jeden z vyššie uvedených DNS serverov, DoH v Chrome bude aktívny predvolene. Pre tých, ktorí používajú DNS servery poskytované miestnym poskytovateľom internetových služieb, zostane všetko bez zmien a na requesty DNS sa naďalej použije systémový resolver.
Podstatným rozdielom oproti implementácii DoH vo Firefoxe, kde sa postupné zapínanie DoH predvolene už na konci septembra, je absencia viazanosti na jedinú službu DoH. Ak vo Firefoxe je predvolený DNS server Cloudflare, tak v Chrome sa len aktualizuje metóda práce s DNS na ekvivalentnú službu, bez zmeny poskytovateľa DNS. Napríklad, ak má používateľ v systémových nastaveniach nastavený DNS 8.8.8.8, v Chrome bude DoH služba Google („https://dns.google.com/dns-query“), ak je DNS – 1.1.1.1, tak DoH služba Cloudflare („https://cloudflare-dns.com/dns-query“) a
Ak chce, používateľ môže povoliť alebo zakázať DoH pomocou nastavenia „chrome://flags/#dns-over-https“. Podporované sú tri režimy: „secure“, „automatic“ a „off“. V režime „secure“ sa hostitelia určujú len na základe predtým vyrovnaných bezpečných hodnôt (získaných cez zabezpečené spojenie) a požiadaviek cez DoH, návrat na bežný DNS nie je možný. V režime „automatic“ ak DoH a zabezpečená vyrovnávacia pamäť nie sú dostupné, je povolené získavať dáta z nezabezpečenej vyrovnávacej pamäti a kontaktovať tradičný DNS. V režime „off“ sa najprv kontroluje všeobecná vyrovnávacia pamäť a ak nie sú dáta, požiadavka sa posiela cez systémový DNS. Mód sa nastavuje cez kDnsOverHttpsMode, a šablóna pre párovanie serverov cez kDnsOverHttpsTemplates.
Experiment with enabling DoH will be conducted on all platforms supported by Chrome, except for Linux and iOS due to the complexity of parsing the resolver settings and limited access to system DNS settings. If failures occur in sending requests to the DoH server after enabling DoH (for example, due to its blocking, network connectivity issues, or failure), the browser will automatically revert to system DNS settings.
The goal of conducting the experiment is the final verification of the DoH implementation and studying the impact of applying DoH on performance. It is worth noting that support for DoH was actually added to the Chrome codebase back in February, but to configure and enable DoH to launch Chrome with a special flag and a non-obvious set of options.
Let us remind you that DoH can be useful for preventing leaks of information about requested hostnames through provider DNS servers, combating MITM attacks and DNS traffic spoofing (for example, when connecting to public Wi-Fi), resisting DNS-level blocking (DoH cannot replace VPN in bypassing blocks implemented at the DPI level) or for organizing work in case of inability to directly access DNS servers (for example, when working through a proxy). In a typical situation, DNS queries are sent directly to specific DNS servers configured in the system, while in the case of DoH, the request to resolve the hostname's IP address is encapsulated in HTTPS traffic and sent to an HTTP server, where the resolver processes requests via Web API. The existing DNSSEC standard uses encryption only for authenticating the client and server but does not protect traffic from interception and does not guarantee the confidentiality of requests.
Zdroj: opennet.ru
