„Voljeti i ne voljeti”: DNS preko HTTPS-a

Razpravljamo o mnenjih glede delovanja DNS over HTTPS, ki je v zadnjem času postalo 'jabolko spora' med internetnimi ponudniki in razvijalci brskalnikov.

/ Unsplash / Steve Halama

Bistvo nesoglasij

V zadnjem času velika medijska podjetja in tematski portali (vključno s Habr), pogosto pišejo o protokolu DNS over HTTPS (DoH). Ta šifrira poizvedbe na DNS strežnik in odgovore nanje. Tak pristop omogoča prikritje imen gostiteljev, s katerimi se uporabnik povezuje. Iz objav lahko sklepamo, da je nov protokol (v IETF je bil odobren v 2018) razdelil IT skupnost na dva tabora.

Polovica meni, da nov protokol povečuje varnost interneta in ga uvaja v svoje aplikacije in storitve. Druga polovica je prepričana, da tehnologija le otežuje delo sistemskim administratorjem. Nadalje, razpravljali bomo o argumentih obeh strani.

Kako deluje DoH

Preden preidemo k pogovoru o tem, zakaj se internetni ponudniki in drugi tržni akterji zavzemajo za ali proti DNS over HTTPS, kratko razložimo načela njegovega delovanja.

V primeru DoH se poizvedba za določitev IP naslova inkapsulira v HTTPS promet. Nato gre na HTTP strežnik, kjer se obdeluje s pomočjo API. Tukaj je primer poizvedbe iz RFC 8484 (str.6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Tako je DNS promet skrit v HTTPS prometu. Stranka in strežnik komunicirata preko standardnega porta 443. Posledično ostajajo poizvedbe v sistemu domen anonimne.

Zakaj ga ne marajo

Nasprotniki DNS over HTTPS pravi, da nov protokol zmanjša varnost povezav. Po besedah Paulu Vixiju (Paul Vixie), članu ekipe razvijalcev DNS, bo sistemskim administratorjem težje blokirati potencialno škodljive spletne strani. Običajni uporabniki pa bodo morda izgubili možnost nastavitve pogojev za starševski nadzor v brskalnikih.

Mnenje Paula delijo internetni ponudniki v Združenem kraljestvu. Zakonodaja države zavezuje jih, da blokirajo vire s prepovedano vsebino. Toda podpora DoH v brskalnikih otežuje nalogo filtriranja prometa. Med kritiki novega protokola sta tudi Center za vladno komunikacijo Anglije (GCHQ) in fundacija Internet Watch Foundation (IWF), ki vodi register blokiranih virov.

Na našem blogu na Habr:

• Rat protiv robo-zvonjenja u SAD-u — tko pobjeđuje i zašto
• Britanski telekomi će isplatiti nadoknadu korisnicima zbog prekida veze

Stručnjaci ističu da bi DNS over HTTPS mogao predstavljati prijetnju cyber sigurnosti. Početkom srpnja stručnjaci za informacijske sigurnosti iz Netlaba otkrivene su prvi virus koji je iskoristio novi protokol za izvođenje DDoS napada — Godlua. Malware se oslanjao na DoH za dobijanje TXT zapisa i ekstrakciju URL adresa upravljačkih servera.

Enkriptirani DoH upiti nisu bili prepoznati od antivirusnog softvera. Stručnjaci za informacijske sigurnosti brinu se, da će nakon Godlua doći drugi zloćudni softver koji će biti nevidljiv za pasivno praćenje DNS-a.

No, nisu svi protiv

U obranu DNS over HTTPS u svom blogu spregovoril inženjer iz APNIC-a Geoff Houston. Prema njegovim riječima, novi protokol će omogućiti borbu protiv napada DNS hijacking, koji postaju sve učestaliji. Ova činjenica doğruluyor siječanjski izvještaj kompanije FireEye. Razvoj protokola podržale su i velike IT kompanije.

Još početkom prošle godine DoH je testiran u Googleu. A prije mjesec dana kompanija je predstavilo izdanje svoje DoH usluge u General Availability verziji. U Googleu se nadaju, da će povećati sigurnost osobnih podataka na mreži i zaštititi od MITM napada.

Drugi developeri preglednika — Mozilla — podpira proveli su implementaciju DNS over HTTPS od ljeta prošle godine. U tom smislu, kompanija aktivno promovira novu tehnologiju u IT zajednici. Zbog toga, asocijacija davatelja Internet Services Providers Association (ISPA) čak je nominirala Mozillu za nagradu "internet zločinca godine". U odgovoru, predstavnici kompanije so opozorile, da su razočarani željom telekom operatera da unaprijede zastarjelu internet infrastrukturu.

/ Unsplash / TETrebbien

U podporu Mozilli izrazili su se veliki mediji i neki internet provajderi. Konkretno, u British Telecom menijo, da novi protokol neće utjecati na filtriranje sadržaja i povećat će sigurnost britanskih korisnika. Pod pritiskom javnosti, ISPA je morala povući "zloćudnu" nominaciju.

Također su za implementaciju DNS over HTTPS nastupali cloud provajderi, poput Cloudflare. Oni već nude DNS usluge na bazi novog protokola. Potpuni popis preglednika i klijenata koji podržavaju DoH možete pronaći na GitHub.

U svakom slučaju, o završetku sukoba dviju strana za sada ne možemo govoriti. IT stručnjaci prognoziraju da, ako DNS over HTTPS bude suđen da postane dio masovnog internet tehnološkog stoga, to će potrajati nekoliko desetljeća.

O čem ještě píšeme v našem firemním blogu:

• Jak je postavena síť internetového poskytovatele
• Hlavní služby v sítích internetového poskytovatele
• Konvergence a unifikace — několik úloh na jednom zařízení

Izvor: habr.com