Mozilla začíná ve Firefoxu standardně aktivovat DNS-over-HTTPS

Vývojáři Firefoxu so napovedali o ukončení testování podpory DNS přes HTTPS (DoH, DNS over HTTPS) a záměru na konci září tuto technologii standardně aktivovat pro uživatele ve Spojených státech. Aktivace proběhne postupně, nejprve pro několik procent uživatelů a v případě absence problémů se postupně zvýší na 100 %. Po pokrytí USA bude zvažována možnost aktivace DoH i v dalších zemích.

Testy prováděné po celý rok prokázaly spolehlivost a dobrý výkon služby, a také umožnily identifikovat některé situace, kdy DoH může způsobovat problémy, a vypracovat řešení pro jejich obcházení (například bylo diskutováno probleme o optimalizaci provozu v sítích dodání obsahu, rodičovské kontrole a interních DNS zónách podniků).

Význam šifrování DNS provozu je považován za zásadní faktor ochrany uživatelů, a proto bylo rozhodnuto aktivovat DoH jako výchozí, avšak v první fázi pouze pro uživatele ve Spojených státech. Po aktivaci DoH se uživateli zobrazí upozornění, které mu umožní případně se vzdát přístupu k centralizovaným DoH DNS serverům a vrátit se k tradičnímu zasílání nešifrovaných dotazů k DNS serveru poskytovatele (na rozdíl od decentralizované infrastruktuře resolverů DNS, ve DoH se používá vazba na konkrétní DoH službu, která může být považována za jediný bod selhání).

Při aktivaci DoH může dojít k narušení funkce systémů rodičovské kontroly a podnikových sítí, které používají strukturu názvů DNS dostupnou pouze pro interní síť k překladu intranetových adres a podnikových hostitelů. Pro řešení problémů s těmito systémy byla přidána kontrolní systém, který automaticky deaktivuje DoH. Kontroly se provádějí při každém spuštění prohlížeče nebo při zjištění změny podsítě.

Avtomatska vrnitev na uporabo privzetega rezolverja operacijskega sistema je prav tako predvidena v primeru napak pri rezolvovanju prek DoH (na primer, ob prekinitvi omrežne dostopnosti s ponudnikom DoH ali ob napakah v njegovi infrastrukturi). Smisel takšnih preverjanj je dvomljiv, saj nihče ne ovira napadalcev, ki nadzorujejo delovanje rezolverja ali so sposobni poseči v promet, da bi simulirali takšno vedenje za onemogočanje šifriranja DNS prometa. Problem je rešen z dodajanjem točke 'DoH always' v nastavitve (privzeto ni aktivna), pri nastavitvi katere avtomatsko onemogočenje ni uporabljeno, kar je razumen kompromis.

Za določitev korporativnih rezolverskih sistemov se izvajajo preverjanja nenavadnih domen prve stopnje (TLD) in vračanje intranetnih naslovov s sistemskega rezolverja. Za določanje vključitve starševskega nadzora se izvaja poskus rezolvovanja imena exampleadultsite.com in če rezultat ne ustreza dejanskemu IP, se šteje, da je aktivna blokada vsebin za odrasle na ravni DNS. Kot znak se prav tako preverjajo IP-naslovi Google in YouTube glede njihove zamenjave z restrict.youtube.com, forcesafesearch.google.com in restrictmoderate.youtube.com. Dodatno Mozilla ponuja vključiti enotni preveritveni gostiteljski naslov use-application-dns.net, ki ga lahko internetni ponudniki in storitve starševskega nadzora uporabljajo kot oznako za onemogočanje DoH (če gostitelj ni določen, Firefox onemogoči DoH).

Deloz z enotno storitvijo DoH lahko potencialno povzroči težave pri optimizaciji prometa v omrežjih za dostavo vsebine, ki uravnavajo promet s pomočjo DNS (DNS strežnik omrežja CDN oblikuje odgovor ob upoštevanju naslova resolverja in vrne najbližji gostitelj za pridobitev vsebine). Pošiljanje DNS poizvedbe z najbližjega resolverja bo v takih CDN-ih vrnilo naslov najbližjega gostitelja uporabniku, vendar bo ob pošiljanju DNS poizvedbe s centraliziranega resolverja izdan naslov gostitelja, ki je najbližji strežniku DNS-over-HTTPS. Testiranje v praksi je pokazalo, da uporaba DNS-over-HTTP v povezavi z CDN-jem praktično ni povzročala zamud pred začetkom prenosa vsebine (pri hitrih povezavah zamude niso presegale 10 milisekund, na počasenih povezavah pa je bilo celo zaznati pospešitev delovanja). Za prenos podatkov o lokaciji stranke do resolverja CDN je bilo prav tako obravnavano uporabo razširitve EDNS Client Subnet.

Omenimo, da je DoH lahko koristen za izključitev puščanja podatkov o zahtevanih imenih gostiteljev preko DNS strežnikov ponudnikov, za boj proti MITM napadom in zamenjavi DNS prometa, za preprečevanje blokad na ravni DNS ali za omogočanje delovanja v primeru nezmožnosti neposrednega dostopa do DNS strežnikov (na primer pri delovanju preko proxy). V običajni situaciji se DNS poizvedbe neposredno pošiljajo na določene DNS strežnike, ki jih določa konfiguracija sistema, medtem ko se v primeru DoH poizvedba za določitev IP naslova gostitelja inkapsulira v HTTPS promet in pošlje na HTTP strežnik, kjer resolver obdeluje poizvedbe preko Web API. Obstoječi standard DNSSEC uporablja šifriranje le za avtentikacijo stranke in strežnika, vendar ne ščiti prometa pred prestrezanjem in ne zagotavlja zasebnosti poizvedb.

Za vključitev DoH v about:config je treba spremeniti vrednost spremenljivke network.trr.mode, ki je podprta od različice Firefox 60 dalje. Vrednost 0 popolnoma izklopi DoH; 1 uporablja DNS ali DoH, odvisno od tega, katera je hitrejša; 2 uporablja DoH privzeto, DNS pa kot rezervno možnost; 3 uporablja samo DoH; 4 je način zrcaljenja, pri katerem sta DoH in DNS aktivna hkrati. Privzeto se uporablja strežnik DNS podjetja CloudFlare, vendar ga je mogoče spremeniti preko parametra network.trr.uri, na primer lahko nastavite „https://dns.google.com/experimental“ ali „https://9.9.9.9/dns-query“.

Izvor: opennet.ru