Obchodné združenia , a , ktoré zastupujú záujmy poskytovateľov internetových služieb, na Kongres USA s požiadavkou, aby sa venovali problému zavádzania „DNS cez HTTPS“ (DoH, DNS over HTTPS) a požiadali Google o podrobné informácie o aktuálnych a budúcich plánoch na zahrnutie DoH do svojich produktov, ako aj o záväzok nezahrnúť predvolenú centralizovanú spracovanie DNS dotazov do Chrome a Android bez predchádzajúcej dôkladnej diskusie s inými zástupcami ekosystému a zohľadnenia možných negatívnych dôsledkov.
Chápajúc celkový prínos zavádzania šifrovania pre DNS prevádzku, združenia považujú za neprijateľné sústredenie kontroly nad prevodom mien do jedných rúk a viazanie tohto mechanizmu predvolene na centralizované DNS služby. Konkrétne sa tvrdí, že Google smeruje k zavádzaniu DoH ako predvolenej praxe v Android a Chrome, čo, ak bude viazané na servery Google, povedie k narušeniu decentralizovanej povahy infraštruktúry DNS a vzniku jediného bodu zlyhania.
Keďže Chrome a Android dominujú na trhu, v prípade zavedenia svojich DoH serverov získa Google možnosť kontrolovať väčšinu tokov DNS dotazov používateľov. Okrem zníženia spoľahlivosti infraštruktúry by takýto krok tiež poskytol Google neodôvodnené výhody pred konkurenciou, pretože by získal dodatočné informácie o aktivitách používateľov, ktoré môžu byť použité na sledovanie aktivity používateľov a prispôsobenie relevantnej reklamy.
Zavedenie DoH môže tiež narušiť fungovanie v oblastiach, ako sú systémy kontroly rodičov, prístup k vnútorným priestorom mien v korporátnych systémoch, výber trás v systémoch optimalizácie dodávania obsahu a výkon súdnych príkazov v oblasti boja proti šíreniu nelegálneho obsahu a vykorisťovaniu maloletých. Zmeny DNS sa tiež často používajú na presmerovanie používateľov na stránku s informáciami o vyčerpaní prostriedkov u predplatiteľa alebo na prihlásenie do bezdrôtovej siete.
Spoločnosť Google , že obavy sú neopodstatnené, pretože sa nechystá predvolene zahrnúť DoH do Chrome a Android. Vo verzii Chrome 78 sa experimentálne predvolené zapnutie DoH rozšíri iba na používateľov, ktorých nastavenia obsahujú DNS poskytovateľov, ktorí ponúkajú DoH ako alternatívu k tradičným DNS. U tých, ktorí používajú DNS servery poskytované miestnym poskytovateľom internetu, sa DNS dotazy budú naďalej odosielať cez systémový resolver. Teda kroky spoločnosti Google sa obmedzujú iba na výmenu za ekvivalentnú službu aktuálneho poskytovateľa na prechod na zabezpečenú metódu práce s DNS. Experimentálne zapnutie DoH je tiež naplánované v prehliadači Firefox, ale na rozdiel od Google má spoločnosť Mozilla predvolene používať DNS server CloudFlare. Tento prístup už vyvolal zo strany projektu OpenBSD.
Pripomíname, že DoH môže byť užitočné na elimináciu únikov informácií o požadovaných menách hostiteľov cez DNS servery poskytovateľov, boj proti MITM útokom a podvrhnutiu DNS prevádzky (napríklad pri pripojení na verejnú Wi-Fi), čelenie blokovaniu na úrovni DNS (DoH nemôže nahradiť VPN v oblasti obchádzania blokád, ktoré sú realizované na úrovni DPI) alebo na zabezpečenie fungovania v prípade nemožnosti priameho prístupu k DNS serverom (napríklad pri práci cez proxy).
Ak sa v normálnych situáciách DNS požiadavky priamo odosielajú na konkrétne DNS servery uvedené v konfigurácii systému, v prípade DoH sa požiadavka na určenie IP adresy hostiteľa inkapsuluje do HTTPS prevádzky a odosiela sa na HTTP server, kde resolver spracováva požiadavky cez Web API. Existujúci štandard DNSSEC využíva šifrovanie iba na autentifikáciu klienta a servera, ale neochraňuje prevádzku pred zachytením a nezaručuje dôvernosť požiadaviek. V súčasnosti približne podporuje DoH.
Zdroj: opennet.ru
