Vývojári Firefox o ukončení testovania podpory DNS over HTTPS (DoH, DNS over HTTPS) a zámere na konci septembra túto technológiu predvolene aktivovať pre používateľov v USA. Aktivácia bude prebiehať postupne, najprv pre niekoľko percent používateľov, a pokiaľ sa nevyskytnú problémy, postupne sa zvýši na 100%. Po pokrytí USA sa zváži možnosť aktivácie DoH aj v iných krajinách.
Testy vykonávané počas roka ukázali spoľahlivosť a dobrý výkon služby, a tiež umožnili identifikovať niektoré situácie, keď DoH môže spôsobiť problémy a vyvinúť riešenia na ich obídenie (napríklad boli preverené optimalizáciu prevádzky v sieťach dodávky obsahu, rodičovskú kontrolu a firemné interné DNS zóny).
Dôležitosť šifrovania DNS prevádzky je hodnotená ako zásadný faktor ochrany používateľov, preto sa DoH rozhodlo zapnúť predvolene, avšak v počiatočnej fáze iba pre používateľov v USA. Po aktivácii DoH sa používateľovi zobrazí upozornenie, ktoré mu umožní v prípade záujmu sa vzdať prístupu k centralizovaným DoH DNS serverom a vrátiť sa k tradičnému zasielaniu nezašifrovaných dopytov na DNS server poskytovateľa (na rozdiel od distribuovanej infraštruktúry DNS resolverov, v DoH je použitá väzba na konkrétny DoH servis, ktorý môže byť považovaný za jediný bod zlyhania).
Po aktivácii DoH môže dôjsť k narušeniu funkčnosti systémov rodičovskej kontroly a firemných sietí, ktoré používajú štruktúru názvov DNS dostupnú len pre internú sieť na konverziu intranetových adries a firemných hostiteľov. Na riešenie problémov s takýmito systémami bola pridaná systém kontrol, ktorý automaticky vypína DoH. Kontroly sa vykonávajú pri každom spustení prehliadača alebo pri identifikácii zmeny podsiete.
Automatický návrat k používaniu systémového resolvera je tiež zabezpečený pri výskyte zlyhaní pri rezolvovaní cez DoH (napríklad pri narušení sieťovej dostupnosti s poskytovateľom DoH alebo pri zlyhaní jeho infraštruktúry). Zmysel takýchto overení je pochybné, pretože nikto nebráni útočníkom, ktorí kontrolujú fungovanie resolvera alebo môžu zasiahnuť do prevádzky, simulovať takéto správanie na vypnutie šifrovania DNS prevádzky. Problém bol vyriešený pridaním možnosti „DoH always“ do nastavení (predvolene nie je aktívna), pri aktivácii ktorej sa automatické vypnutie neuplatňuje, čo je rozumný kompromis.
Na určenie firemných resolverov sa vykonávajú kontroly netypických domén najvyššej úrovne (TLD) a vracanie intranetových adries systémovým resolverom. Na určenie aktivácie rodičovskej kontroly sa vykonáva pokus o rezolvovanie mena exampleadultsite.com a ak výsledok nezodpovedá skutočnej IP, považuje sa, že na úrovni DNS je aktívny blok na dospelý obsah. Ako znaky sa tiež kontrolujú IP adresy Google a YouTube na prítomnosť ich nahradenia na restrict.youtube.com, forcesafesearch.google.com a restrictmoderate.youtube.com. Navyše Mozilla implementovať jednotný overovací hostiteľ , ktorý môžu používať internetoví poskytovatelia a služby rodičovskej kontroly ako značku na vypnutie DoH (ak sa hostiteľ nedefinuje, Firefox DoH vypne).
Práca prostredníctvom jednotného DoH servisu môže potenciálne spôsobiť problémy s optimalizáciou prevádzky v sieťach doručovania obsahu, ktoré vykonávajú vyváženie prevádzky pomocou DNS (DNS server CDN siete generuje odpoveď, berúc do úvahy adresu rezolvéra a poskytuje najbližší hostiteľ na získanie obsahu). Odoslanie DNS požiadavky z najbližšieho rezolvéra k používateľovi v takých CDN vedie k vráteniu adresy najbližšieho hostiteľa k používateľovi, ale pri odosielaní DNS požiadavky z centralizovaného rezolvéra bude vydaná adresa hostiteľa, najbližšieho k serveru DNS-over-HTTPS. Testovanie v praxi ukázalo, že použitie DNS-over-HTTP pri používaní CDN prakticky nespôsobilo oneskorenia pred začiatkom prenosu obsahu (pre rýchle pripojenia oneskorenia neprekročili 10 milisekúnd a na pomalších pripojeniach sa dokonca sledovalo zrýchlenie). Pre prenos informácií o lokalizácii klienta do rezolvéra CDN sa tiež zvažovalo využitie rozšírenia EDNS Client Subnet.
Pripomíname, že DoH môže byť užitočný na vylúčenie únikov informácií o požadovaných názvoch hostiteľov prostredníctvom DNS serverov poskytovateľov, boj s MITM útokmi a manipuláciou DNS prevádzky, prekonávanie blokácií na úrovni DNS alebo na organizáciu práce v prípade nemožnosti priameho kontaktu s DNS servermi (napríklad pri práci cez proxy). Ak v bežnej situácii sú DNS požiadavky priamo odosielané na konkrétne DNS servery definované v konfigurácii systému, v prípade DoH je požiadavka na určenie IP adresy hostiteľa enkapsulovaná v HTTPS prevádzke a odosielaná na HTTP server, na ktorom rezolver spracováva požiadavky cez Web API. Existujúci štandard DNSSEC používa šifrovanie len na autentifikáciu klienta a servera, ale nechránia prevádzku pred zachytením a nezaručujú dôvernosť požiadaviek.
Na aktiváciu DoH v about:config je potrebné zmeniť hodnotu premennej network.trr.mode, ktorá je podporovaná od verzie Firefox 60. Hodnota 0 úplne deaktivuje DoH; 1 – používa DNS alebo DoH v závislosti od toho, čo je rýchlejšie; 2 – používa DoH ako predvolenú možnosť a DNS ako záložnú; 3 – používa len DoH; 4 – režim zrkadlenia, kde sú DoH a DNS zapojené súčasne. Predvolený DNS server je CloudFlare, ale možno ho zmeniť cez parameter network.trr.uri, napríklad na "https://dns.google.com/experimental" alebo "https://9.9.9.9/dns-query".
Zdroj: opennet.ru
