Po dvoch rokoch v\u00fdvoja konzorcium ISC predstavilo prv\u00fa stabiln\u00fa verziu novej d\u00f4le\u017eitej vetvy DNS servera BIND 9.18. Podpora vetvy 9.18 bude poskytovan\u00e1 po\u010das troch rokov do druh\u00e9ho kvart\u00e1lu 2025 v r\u00e1mci roz\u0161\u00edren\u00e9ho cyklu \u00fadr\u017eby. Podpora vetvy 9.11 sa skon\u010d\u00ed v marci a vetvy 9.16 v polovici roka 2023. Pre rozvoj funk\u010dnosti nasleduj\u00facej stabilnej verzie BIND bola vytvoren\u00e1 experiment\u00e1lna vetva BIND 9.19.0. <\/p>\n
Verzia BIND 9.18.0 je v\u00fdnimo\u010dn\u00e1 implement\u00e1ciou podpory technol\u00f3gi\u00ed \u201eDNS cez HTTPS\u201c (DoH, DNS over HTTPS) a DNS cez TLS (DoT, DNS over TLS), ako aj mechanizmu XoT (XFR-over-TLS) pre bezpe\u010dn\u00fd prenos obsahu DNS z\u00f3n medzi servermi (podporuje sa ako odosielanie, tak aj prij\u00edmanie z\u00f3n cez XoT). Pri pr\u00edslu\u0161n\u00fdch nastaveniach m\u00f4\u017ee jeden proces named teraz obsluhova\u0165 nielen tradi\u010dn\u00e9 DNS dotazy, ale aj dotazy zasielan\u00e9 prostredn\u00edctvom DNS-over-HTTPS a DNS-over-TLS. Klientsk\u00e1 podpora DNS-over-TLS je zabudovan\u00e1 do n\u00e1stroja dig, ktor\u00fd mo\u017eno pou\u017ei\u0165 na posielanie dotazov cez TLS s pou\u017eit\u00edm prep\u00edna\u010da \u201e+tls\u201c. <\/p>\n
Implement\u00e1cia protokolu HTTP\/2, pou\u017e\u00edvan\u00e9ho v DoH, je zalo\u017een\u00e1 na aplik\u00e1cii kni\u017enice nghttp2, ktor\u00e1 patr\u00ed medzi volite\u013en\u00e9 zostavovacie z\u00e1vislosti. Certifik\u00e1ty pre DoH a DoT m\u00f4\u017eu by\u0165 poskytovan\u00e9 pou\u017e\u00edvate\u013eom alebo generovan\u00e9 automaticky po\u010das spustenia. <\/p>\n
Spracovanie dotazov pomocou DoH a DoT sa aktivuje pridan\u00edm mo\u017enost\u00ed \u201ehttp\u201c a \u201etls\u201c do direkt\u00edvy listen-on. Na podporu neza\u0161ifrovan\u00e9ho DNS-over-HTTP je potrebn\u00e9 v nastaveniach uvies\u0165 \u201etls none\u201c. K\u013e\u00fa\u010de s\u00fa definovan\u00e9 v sekcii \u201etls\u201c. \u0160tandardn\u00e9 sie\u0165ov\u00e9 porty 853 pre DoT, 443 pre DoH a 80 pre DNS-over-HTTP m\u00f4\u017eu by\u0165 predefinovan\u00e9 prostredn\u00edctvom parametrov tls-port, https-port a http-port. Napr\u00edklad: <\/p>\n
tls local-tls { key-file \"\/path\/to\/priv_key.pem\"; cert-file \"\/path\/to\/cert_chain.pem\"; }; http local-http-server { endpoints { \"\/dns-query\"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Z osobitost\u00ed implement\u00e1cie DoH v BIND je mo\u017enos\u0165 presun\u00fa\u0165 oper\u00e1cie \u0161ifrovania pre TLS na in\u00fd server, \u010do m\u00f4\u017ee by\u0165 potrebn\u00e9 v podmienkach, ke\u010f sa TLS certifik\u00e1ty uchov\u00e1vaj\u00fa na inej s\u00fastave (napr\u00edklad v infra\u0161trukt\u00fare s webov\u00fdmi servermi) a obsluhuje ich in\u00fd person\u00e1l. Podpora ne\u0161ifrovan\u00e9ho DNS-over-HTTP je implementovan\u00e1 pre zjednodu\u0161enie ladenia a ako \u00farove\u0148 pre presmerovanie na in\u00fd server vo vn\u00fatornej sieti (na oddelenie \u0161ifrovania na samostatnom serveri). Na externom serveri na generovanie TLS prev\u00e1dzky m\u00f4\u017ee by\u0165 pou\u017eit\u00fd nginx, podobne ako sa organizuje obal HTTPS pre webov\u00e9 str\u00e1nky. <\/p>\n
\u010eal\u0161ou zauj\u00edmavou vlastnos\u0165ou je integr\u00e1cia DoH ako spolo\u010dn\u00e9ho transportu, ktor\u00fd sa m\u00f4\u017ee pou\u017ei\u0165 nielen na spracovanie \u017eiadost\u00ed klientov k rezolveru, ale aj pri v\u00fdmene \u00fadajov medzi servermi, pri prenose z\u00f3n autoritat\u00edvnym DNS serverom a pri spracovan\u00ed ak\u00fdchko\u013evek po\u017eiadaviek, ktor\u00e9 podporuj\u00fa in\u00e9 DNS transporty. <\/p>\n
Medzi nev\u00fdhody, ktor\u00e9 je mo\u017en\u00e9 kompenzova\u0165 vypnut\u00edm zostavy s DoH\/DoT alebo presunut\u00edm \u0161ifrovania na in\u00fd server, patr\u00ed celkov\u00e9 zlo\u017eenie k\u00f3dovej b\u00e1zy \u2014 do zostavy sa prid\u00e1va zabudovan\u00fd HTTP server a TLS kni\u017enica, ktor\u00e9 potenci\u00e1lne m\u00f4\u017eu obsahova\u0165 zranite\u013enosti a predstavova\u0165 dodato\u010dn\u00e9 vektory na \u00fatoky. Rovnako pri pou\u017eit\u00ed DoH vzrast\u00e1 prev\u00e1dzkov\u00fd tok. <\/p>\n
Pripome\u0148me, \u017ee DNS-over-HTTPS m\u00f4\u017ee by\u0165 u\u017eito\u010dn\u00e9 na elimin\u00e1ciu \u00fanikov \u00fadajov o po\u017eadovan\u00fdch men\u00e1ch hostite\u013eov cez DNS servery poskytovate\u013eov, boj s MITM \u00fatokmi a podvrhnut\u00edm DNS prev\u00e1dzky (napr\u00edklad pri pripojen\u00ed k verejn\u00fdm Wi-Fi), ako aj na odol\u00e1vanie blokovaniu na \u00farovni DNS (DNS-over-HTTPS nem\u00f4\u017ee nahradi\u0165 VPN<\/a> v oblasti ob\u00eddenia blok\u00e1dy, implementovanej na \u00farovni DPI) alebo na organizovanie pr\u00e1ce v pr\u00edpade nemo\u017enosti priameho pr\u00edstupu k DNS serverom (napr\u00edklad pri pr\u00e1ci cez proxy). Ak v be\u017enej situ\u00e1cii DNS \u017eiadosti priamo posielaj\u00fa na konkr\u00e9tne v konfigur\u00e1cii syst\u00e9mu DNS servery, tak v pr\u00edpade DNS-over-HTTPS sa \u017eiados\u0165 na ur\u010denie IP adresy<\/a> hosta inkapsuluje do HTTPS prev\u00e1dzky a posiela sa na HTTP server, kde rezolver spracov\u00e1va po\u017eiadavky cez Web API. <\/p>\n \"DNS cez TLS\" sa l\u00ed\u0161i od \"DNS cez HTTPS\" pou\u017eit\u00edm \u0161tandardn\u00e9ho protokolu DNS (zvy\u010dajne sa pou\u017e\u00edva sie\u0165ov\u00fd port 853), zabalen\u00e9ho do za\u0161ifrovan\u00e9ho komunika\u010dn\u00e9ho kan\u00e1la, ktor\u00fd je organizovan\u00fd prostredn\u00edctvom protokolu TLS s overen\u00edm platnosti hostite\u013ea prostredn\u00edctvom TLS\/SSL certifik\u00e1tov, overen\u00fdch certifika\u010dnou autoritou. Existuj\u00faci \u0161tandard DNSSEC pou\u017e\u00edva \u0161ifrovanie len na autentifik\u00e1ciu klienta a servera, ale neochra\u0148uje prev\u00e1dzku pred odposluchom a nezaru\u010duje d\u00f4vernos\u0165 dotazov. <\/p>\n Niektor\u00e9 \u010fal\u0161ie novinky: <\/p>\n\n