Spoločnosť Mozilla doh doh (DNS over HTTPS) pre Firefox. Okrem predtým navrhovaných DNS serverov CloudFlare ("https://1.1.1.1/dns-query") (), do nastavení bude zahrnutá aj služba Comcast (https://doh.xfinity.com/dns-query). Aktivovať DoH a vybrať v nastaveniach sieťového pripojenia.
Pripomíname, že vo Firefox 77 bola zapnutá testovacia kontrola DNS over HTTPS s odosielaním 10 skúšobných dotazov od každého klienta a automatickým výberom poskytovateľa DoH. Túto kontrolu bolo potrebné vypnúť v verzii , pretože sa to zmenilo na niečo ako DDoS útok na službu NextDNS, ktorá nezvládla záťaž.
Navrhovaní v Firefox poskytovatelia DoH sú výberané podľa na dôveryhodné DNS resolvery, podľa ktorých môže DNS operátor používať získané údaje na rozlíšenie len na zabezpečenie fungovania služby, nemal by uchovávať logy dlhšie ako 24 hodín, nemôže prenášať údaje tretím stranám a je povinný odhaliť informácie o metódach spracovania údajov. Služba by mala tiež urobiť záväzky, že nebude cenzurovať, filtrovať, zasahovať a blokovať DNS prevádzku, okrem situácií predpísaných zákonom.
Z súvisiacich s DNS-over-HTTPS udalostí možno spomenúť spoločnosti Apple, ktorá implementuje podporu DNS-over-HTTPS a DNS-over-TLS v budúcich vydaniach iOS 14 a macOS 11, ako aj podporu rozšírení vo formáte WebExtension v Safari.
Pripomíname, že DoH môže byť užitočné na elimináciu únikov informácií o požadovaných názvoch hostiteľov cez DNS servery poskytovateľov, na boj proti MITM útokom a podvodom s DNS prevádzky (napríklad pri pripojení k verejným Wi-Fi), na odpor voči blokáciám na úrovni DNS (DoH nemôže nahradiť VPN v oblasti obchádzania blokád implementovaných na úrovni DPI) alebo na organizáciu práce v prípade nemožnosti priamych prístupov k DNS serverom (napríklad pri práci cez proxy). V normálnych situáciách sú DNS požiadavky priamo odosielané na určité DNS servery definované v konfigurácii systému, zatiaľ čo v prípade DoH sa požiadavka na určenie IP adresy hostiteľa inkapsuluje do HTTPS prevádzky a odosiela na HTTP server, na ktorom resolver spracováva požiadavky cez Web API. Existujúci štandard DNSSEC používa šifrovanie len na autentifikáciu klienta a servera, ale neochráni prevádzku pred zachytením a nezaručuje dôvernosť požiadaviek.
Zdroj: opennet.ru
