Vývojáři Firefoxu o vklopitvi privzete nastavitve DNS prek HTTPS (DoH, DNS over HTTPS) za uporabnike v Združenih državah Amerike. Šifriranje DNS prometa se obravnava kot temeljni dejavnik zaščite uporabnikov. Od danes naprej je DoH privzeto aktiviran pri vseh novih namestitvah, ki jih opravijo uporabniki v ZDA. Obstoječe uporabnike v ZDA nameravajo preklopiti na DoH v naslednjih nekaj tednih. V Evropski uniji in drugih državah zaenkrat ne načrtujejo privzete aktivacije DoH. .
Po aktivaciji DoH uporabniku prikaže opozorilo, ki mu omogoča, da se po želji odloči ne uporabljati centraliziranih DoH DNS strežnikov in se vrne k tradicionalnemu načinu pošiljanja nešifriranih zahtevkov ponudniku DNS. Namesto razdeljene infrastrukture DNS resolverjev DoH uporablja vezavo na določen DoH servis, ki ga lahko obravnavamo kot eno samo točko napake. Trenutno je na voljo delo s tremi DNS ponudniki — CloudFlare (privzeto) in .
Spremenite ponudnika ali onemogočite DoH v nastavitvah omrežne povezave. Na primer, lahko navedete alternativni DoH strežnik «https://dns.google/dns-query» za dostop do strežnikov Google, «https://dns.quad9.net/dns-query» — Quad9 in «https://doh.opendns.com/dns-query» — OpenDNS. V about:config je tudi na voljo nastavitev network.trr.mode, preko katere lahko spremenite način delovanja DoH: vrednost 0 popolnoma onemogoči DoH; 1 — uporablja DNS ali DoH, odvisno od tega, kateri je hitrejši; 2 — uporablja DoH privzeto, DNS pa kot rezervni vir; 3 — uporablja le DoH; 4 — način zrcaljenja, pri katerem sta DoH in DNS vključena hkrati.
Pomnimo, da DoH lahko pride prav za preprečevanje uhajanja informacij o zahtevanih imenih gostiteljev preko DNS-strežnikov ponudnikov, boj proti napadom MITM in zamenjavi DNS-prometa (na primer, ko se povežete na javni Wi-Fi), spopadanje z blokadami na ravni DNS (DoH ne more nadomestiti VPN pri obvajanju blokad, izvedenih na ravni DPI) ali za organizacijo delovanja v primeru nemogoče neposredne povezave z DNS-strežniki (na primer, pri delu preko proxy). Medtem ko se v običajni situaciji DNS-poizvedbe neposredno pošiljajo določenim v sistemski konfiguraciji DNS-strežnikom, se v primeru DoH poizvedba za določitev IP-naslova gostitelja inkapsulira v HTTPS promet in pošlje na HTTP-strežnik, kjer resolver obravnava poizvedbe preko Web API. Obstoječi standard DNSSEC uporablja šifriranje le za avtentikacijo odjemalca in strežnika, ne ščiti pa prometa pred prestrezanjem in ne zagotavlja zasebnosti poizvedb.
Za izbor ponudnikov DoH, ki se predlagajo v Firefoxu, so oblikovana za zaupanja vredne DNS-resolverje, po katerih lahko DNS-operater uporabi podatke, pridobljene za razreševanje, le za zagotavljanje delovanja storitve, ne sme hraniti dnevnikov dlje kot 24 ur, ne more posredovati podatkov tretjim osebam in mora razkriti informacije o načinih obdelave podatkov. Storitev mora prav tako dati zavezo, da ne bo cenzurirala, filtrirala, posegala in blokirala DNS-prometa, razen v primerih, ki jih predvideva zakonodaja.
DoH je treba uporabljati previdno. Na primer, v RS so IP-naslovi 104.16.248.249 in 104.16.249.249, povezani s privzeto DoH-strežniško ponudbo v Firefoxu mozilla.cloudflare-dns.com, u по требованию суда г. Ставрополя от 10.06.2013.
Uporaba DoH lahko povzroči težave na področjih, kot so sistemi starševske kontrole, dostop do internih imenovnih prostorov v podjetniških sistemih, izbira poti v sistemih optimizacije dostave vsebin in izvajanje sodnih odredb na področju preprečevanja širjenja nezakonitih vsebin in izkoriščanja mladoletnikov. Za obvladovanje takih težav je bila razvita in testirana sistemska preverjanja, ki samodejno onemogočijo DoH v določenih pogojih.
Za določitev korporativnih resolverjev se izvajajo preverjanja nenavadnih domen prve ravni (TLD) in vračanje intranetnih naslovov s sistemskim resolverjem. Za določitve vključitve starševskega nadzora se poskuša razreševanje imena exampleadultsite.com in če rezultat ni v skladu z dejanskim IP-jem, se šteje, da je aktivna blokada vsebin za odrasle na ravni DNS. Kot znake se tudi preverjajo IP-naslovi Google in YouTube glede njihove zamenjave z restrict.youtube.com, forcesafesearch.google.com in restrictmoderate.youtube.com. Ti pregledi omogočajo napadalcem, ki nadzorujejo delovanje resolverja ali lahko posežejo v promet, da simulirajo takšno vedenje za izklop šifriranja DNS-prometa.
Deloz z enotno storitvijo DoH lahko potencialno povzroči težave pri optimizaciji prometa v omrežjih za dostavo vsebine, ki uravnavajo promet s pomočjo DNS (DNS strežnik omrežja CDN oblikuje odgovor ob upoštevanju naslova resolverja in vrne najbližji gostitelj za pridobitev vsebine). Pošiljanje DNS poizvedbe z najbližjega resolverja bo v takih CDN-ih vrnilo naslov najbližjega gostitelja uporabniku, vendar bo ob pošiljanju DNS poizvedbe s centraliziranega resolverja izdan naslov gostitelja, ki je najbližji strežniku DNS-over-HTTPS. Testiranje v praksi je pokazalo, da uporaba DNS-over-HTTP v povezavi z CDN-jem praktično ni povzročala zamud pred začetkom prenosa vsebine (pri hitrih povezavah zamude niso presegale 10 milisekund, na počasenih povezavah pa je bilo celo zaznati pospešitev delovanja). Za prenos podatkov o lokaciji stranke do resolverja CDN je bilo prav tako obravnavano uporabo razširitve EDNS Client Subnet.
Izvor: opennet.ru
