Vývojári Mozilla o vykonaní novej štúdie v rámci prípravy na zavedenie funkcie DNS cez HTTPS (DoH, DNS over HTTPS). Počas vykonávaného experimentu na systémoch časti používateľov vydaní Firefox zo USA budú zhromaždené štatistiky o využívaní systémov rodičovskej kontroly a firemných resolverov. Účastníci experimentu môžu svoj súhlas odvolať na stránke „about:studies“ (štúdia je uvedená v zozname ako „Detection Logic for DNS-over-HTTPS“).
Na štúdiu budú zhromaždené anonymizované údaje, ktoré budú obsahovať iba počítadlá, bez uvedenia konkrétnych adries a domén. Na zistenie systémov rodičovskej kontroly bude odoslaná požiadavka na určenie názvu exampleadultsite.com a ak sa nebude zhodovať s aktuálnou IP adresou, dá sa považovať, že blokovanie obsahu pre dospelých na úrovni DNS je aktívne. Tiež budú vyhodnotené IP adresy odpovede pre Google a YouTube, na overenie ich zmien na restrict.youtube.com, forcesafesearch.google.com a restrictmoderate.youtube.com.
Na zistenie využívania interných firemných resolverov bude skontrolované, či sa pri otváraní stránok používajú netypické domény najvyššej úrovne (TLD) a vôbec sa vracajú intranetové adresy. Motívom uskutočnenia experimentu sú obavy, že predvolené zapnutie DNS-over-HTTPS môže narušiť fungovanie existujúcich systémov rodičovskej kontroly prostredníctvom DNS a vytvoriť problémy pre používateľov firemných sietí, ktorí používajú DNS servery poskytujúce informácie o vnútorných doménach, ktoré nie sú viditeľné vo vonkajšej sieti.
Pripomíname, že DoH môže byť užitočný na vylúčenie únikov informácií o požadovaných názvoch hostiteľov prostredníctvom DNS serverov poskytovateľov, boj s MITM útokmi a manipuláciou DNS prevádzky, prekonávanie blokácií na úrovni DNS alebo na organizáciu práce v prípade nemožnosti priameho kontaktu s DNS servermi (napríklad pri práci cez proxy). Ak v bežnej situácii sú DNS požiadavky priamo odosielané na konkrétne DNS servery definované v konfigurácii systému, v prípade DoH je požiadavka na určenie IP adresy hostiteľa enkapsulovaná v HTTPS prevádzke a odosielaná na HTTP server, na ktorom rezolver spracováva požiadavky cez Web API. Existujúci štandard DNSSEC používa šifrovanie len na autentifikáciu klienta a servera, ale nechránia prevádzku pred zachytením a nezaručujú dôvernosť požiadaviek.
Na aktiváciu DoH v about:config je potrebné zmeniť hodnotu premennej network.trr.mode, ktorá je podporovaná od verzie Firefox 60. Hodnota 0 úplne deaktivuje DoH; 1 – používa DNS alebo DoH v závislosti od toho, čo je rýchlejšie; 2 – používa DoH ako predvolenú možnosť a DNS ako záložnú; 3 – používa len DoH; 4 – režim zrkadlenia, kde sú DoH a DNS zapojené súčasne. Predvolený DNS server je CloudFlare, ale možno ho zmeniť cez parameter network.trr.uri, napríklad na "https://dns.google.com/experimental" alebo "https://9.9.9.9/dns-query".
Zdroj: opennet.ru
