Vývojári DNS servera BIND oznámili, že do experimentálnej vetvy 9.17 bola pridaná implementácia serverovej podpory technológií „DNS cez HTTPS“ (DoH, DNS over HTTPS) a DNS cez TLS (DoT, DNS over TLS), ako aj mechanizmus XFR-over-TLS pre bezpečný prenos obsahu DNS zón medzi servermi. DoH je dostupný na testovanie v verzii 9.17.10, zatiaľ čo podpora DoT je prítomná od verzie 9.17.7. Po stabilizácii bude podpora DoT a DoH prenesená do stabilnej vetvy 9.16.
Implementácia protokolu HTTP/2, ktorý sa používa v DoH, je založená na využití knižnice nghttp2, ktorá je zahrnutá medzi zostavovacími závislosťami (v budúcnosti sa plánuje zmeniť túto knižnicu na nepovinnú závislosť). Podporujú sa ako šifrované (TLS), tak aj nešifrované pripojenia cez HTTP/2. Pri vhodných nastaveniach môže teraz jeden proces named obsluhovať nielen tradičné DNS požiadavky, ale aj požiadavky zaslané pomocou DoH (DNS-over-HTTPS) a DoT (DNS-over-TLS). Podpora HTTPS na strane klienta (dig) zatiaľ nie je implementovaná. Podpora XFR-over-TLS je dostupná ako pre prichádzajúce, tak aj pre odchádzajúce požiadavky.
Spracovanie požiadaviek pomocou DoH a DoT sa aktivuje pridaním volieb http a tls do direktívy listen-on. Pre podporu nešifrovaného DNS-over-HTTP je potrebné v nastaveniach uviesť „tls none“. Kľúče sa definujú v sekcii „tls“. Štandardné sieťové porty 853 pre DoT, 443 pre DoH a 80 pre DNS-over-HTTP môžu byť predefinované cez parametre tls-port, https-port a http-port. Príklad: tls local-tls { key-file "/path/to/priv_key.pem"; cert-file "/path/to/cert_chain.pem"; }; http local-http-server { endpoints { "/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }
Medzi zvláštnosti implementácie DoH v BIND patrí integrácia ako spoločného transportu, ktorý môže byť použitý nielen na spracovanie požiadaviek klientov na rezolvery, ale aj pri výmene údajov medzi servermi, pri prenose zón autoritatívnym DNS serverom a pri spracovaní akýchkoľvek požiadaviek podporovaných inými transportmi DNS.
Ďalšou črtou je možnosť presunúť operácie šifrovania pre TLS na iný server, čo môže byť potrebné v prípadoch, keď sú TLS certifikáty uložené na inej sústave (napríklad v infraštruktúre s webovými servermi) a spravujú ich iní zamestnanci. Podpora nezašifrovaného DNS-over-HTTP bola implementovaná na uľahčenie ladenia a ako úroveň na prenos v internej sieti, na báze ktorej môže byť na inom serveri zorganizované šifrovanie. Na externom serveri pre generovanie TLS prevádzky môže byť použitý nginx, podobne ako sa organizuje obal HTTPS pre webové stránky.
Pripomeňme, že DNS-over-HTTPS môže byť užitočné na elimináciu únikov údajov o požadovaných menách hostiteľov cez DNS servery poskytovateľov, boj s MITM útokmi a podvrhnutím DNS prevádzky (napríklad pri pripojení k verejným Wi-Fi), ako aj na odolávanie blokovaniu na úrovni DNS (DNS-over-HTTPS nemôže nahradiť VPN v oblasti obídenia blokády, implementovanej na úrovni DPI) alebo na organizovanie práce v prípade nemožnosti priameho prístupu k DNS serverom (napríklad pri práci cez proxy). Ak v bežnej situácii DNS žiadosti priamo posielajú na konkrétne v konfigurácii systému DNS servery, tak v prípade DNS-over-HTTPS sa žiadosť na určenie IP adresy hosta inkapsuluje do HTTPS prevádzky a posiela sa na HTTP server, kde rezolver spracováva požiadavky cez Web API.
„DNS over TLS“ sa líši od „DNS over HTTPS“ tým, že používa štandardný protokol DNS (zvyčajne sietový port 853), zabalil do šifrovaného komunikačného kanála vytvoreného pomocou protokolu TLS s overením platnosti hostiteľa cez TLS/SSL certifikáty, ktoré sú overené certifikačným orgánom. Existujúci štandard DNSSEC používa šifrovanie len na autentifikáciu klienta a servera, ale nechránia prenos pred zachytávaním a nezaručujú dôvernosť požiadaviek.
Zdroj: opennet.ru
