Vývojári Firefox o zapnutí predvoleného režimu DNS cez HTTPS (DoH, DNS over HTTPS) pre používateľov v USA. Šifrovanie DNS prevádzky sa považuje za zásadný faktor ochrany používateľov. Od dnešného dňa je DoH vo všetkých nových inštaláciách, ktoré uskutočnili používatelia z USA, predvolene aktivované. Existujúcich používateľov z USA plánujeme prepnúť na DoH počas nasledujúcich týždňov. V Európskej únii a iných krajinách sa zatiaľ DoH predvolene aktivovať neplánuje. .
Po aktivácii DoH sa používateľovi zobrazuje upozornenie, ktoré mu umožňuje, ak si praje, odvolať sa z používania centralizovaných DoH DNS serverov a vrátiť sa k tradičnej schéme odosielania nezašifrovaných dopytov DNS na server poskytovateľa. Namiesto distribuovanej infraštruktúry DNS resolverov sa v DoH využíva prepojenie na určité DoH služby, ktoré môžu byť považované za jediný bod zlyhania. V súčasnosti sa ponúkajú služby cez dvoch DNS poskytovateľov — CloudFlare (predvolene) a .
Zmeniť poskytovateľa alebo vypnúť DoH v nastaveniach sieťového pripojenia. Napríklad je možné zadať alternatívny DoH server „https://dns.google/dns-query“ na spojenie so servermi Google, „https://dns.quad9.net/dns-query“ — Quad9 a „https://doh.opendns.com/dns-query“ — OpenDNS. V about:config je tiež k dispozícii nastavenie network.trr.mode, cez ktoré je možné zmeniť režim činnosti DoH: hodnota 0 úplne vypína DoH; 1 — používa sa DNS alebo DoH, v závislosti od rýchlosti; 2 — predvolene sa používa DoH a DNS ako záložná možnosť; 3 — používa sa iba DoH; 4 — režim zrkadlenia, pri ktorom sú DoH a DNS zapojené súčasne.
Pripomíname, že DoH môže byť užitočné na elimináciu únikov informácií o požadovaných názvoch hostiteľov cez DNS servery poskytovateľov, na boj proti MITM útokom a podvodom s DNS prevádzky (napríklad pri pripojení k verejným Wi-Fi), na odpor voči blokáciám na úrovni DNS (DoH nemôže nahradiť VPN v oblasti obchádzania blokád implementovaných na úrovni DPI) alebo na organizáciu práce v prípade nemožnosti priamych prístupov k DNS serverom (napríklad pri práci cez proxy). V normálnych situáciách sú DNS požiadavky priamo odosielané na určité DNS servery definované v konfigurácii systému, zatiaľ čo v prípade DoH sa požiadavka na určenie IP adresy hostiteľa inkapsuluje do HTTPS prevádzky a odosiela na HTTP server, na ktorom resolver spracováva požiadavky cez Web API. Existujúci štandard DNSSEC používa šifrovanie len na autentifikáciu klienta a servera, ale neochráni prevádzku pred zachytením a nezaručuje dôvernosť požiadaviek.
Na výber poskytovateľov DoH, ponúkaných vo Firefoxe, sú stanovené na dôveryhodné DNS resolvery, podľa ktorých môže DNS operátor používať získané údaje na rozlíšenie len na zabezpečenie fungovania služby, nemal by uchovávať logy dlhšie ako 24 hodín, nemôže prenášať údaje tretím stranám a je povinný odhaliť informácie o metódach spracovania údajov. Služba by mala tiež urobiť záväzky, že nebude cenzurovať, filtrovať, zasahovať a blokovať DNS prevádzku, okrem situácií predpísaných zákonom.
Používať DoH by sa malo opatrne. Napríklad v RF sú IP adresy 104.16.248.249 a 104.16.249.249, spojené s predvolene ponúkaným DoH serverom mozilla.cloudflare-dns.com, v na požiadanie súdu v Stavropole zo 10.06.2013.
Použitie DoH môže tiež viesť k problémom v oblastiach, ako sú systémy rodičovskej kontroly, prístup do vnútorných názvových priestorov v podnikových systémoch, výber trás v systémoch optimalizácie dodávok obsahu a vykonávanie súdnych príkazov v oblasti boja proti šíreniu nelegálneho obsahu a zneužívaniu nezletilých. Na obídenie takýchto problémov bola implementovaná a otestovaná systém kontrol, ktorý automaticky vypne DoH za určitých podmienok.
Na určenie firemných resolverov sa vykonávajú kontroly netypických domén prvej úrovne (TLD) a vrátenie intranetových adries systémovým resolverom. Na určenie zapojenia rodičovskej kontroly sa skúša rezolvovanie mena exampleadultsite.com, a ak sa výsledok nezhoduje s aktuálnou IP, považuje sa to za aktívnu blokáciu obsahu pre dospelých na úrovni DNS. Ako znaky sa tiež kontrolujú IP adresy Google a YouTube na ich nahradenie na restrict.youtube.com, forcesafesearch.google.com a restrictmoderate.youtube.com. Tieto kontroly umožňujú útočníkom, ktorí ovládajú prácu resolvera alebo môžu zasahovať do prevádzky, simulovať takéto správanie na odhlásenie šifrovania DNS prevádzky.
Práca prostredníctvom jednotného DoH servisu môže potenciálne spôsobiť problémy s optimalizáciou prevádzky v sieťach doručovania obsahu, ktoré vykonávajú vyváženie prevádzky pomocou DNS (DNS server CDN siete generuje odpoveď, berúc do úvahy adresu rezolvéra a poskytuje najbližší hostiteľ na získanie obsahu). Odoslanie DNS požiadavky z najbližšieho rezolvéra k používateľovi v takých CDN vedie k vráteniu adresy najbližšieho hostiteľa k používateľovi, ale pri odosielaní DNS požiadavky z centralizovaného rezolvéra bude vydaná adresa hostiteľa, najbližšieho k serveru DNS-over-HTTPS. Testovanie v praxi ukázalo, že použitie DNS-over-HTTP pri používaní CDN prakticky nespôsobilo oneskorenia pred začiatkom prenosu obsahu (pre rýchle pripojenia oneskorenia neprekročili 10 milisekúnd a na pomalších pripojeniach sa dokonca sledovalo zrýchlenie). Pre prenos informácií o lokalizácii klienta do rezolvéra CDN sa tiež zvažovalo využitie rozšírenia EDNS Client Subnet.
Zdroj: opennet.ru
