Podjetje Mozilla je predstavilo tretjega ponudnika DNS-over-HTTPS za Firefox.

Podjetje Mozilla donela je dogovor s tret'im provayderom DNS povyrkh HTTPS (DoH, DNS over HTTPS) dlya Firefox. Pomimo ranee predlagavshikhsya DNS-serverov CloudFlare (“https://1.1.1.1/dns-query”) i NextDNS (https://dns.nextdns.io/id), v nastrojki takzhe budet vklyuchen servis Comcast (https://doh.xfinity.com/dns-query). Aktivirovat' DoH i vybrat' ponudnika je možno v nastavitvah omrežne povezave.

Napomnivayem, chto v Firefox 77 byla vklyuchena testovaya proverka DNS over HTTPS s otpravkoy 10 probnykh zaprosov kazhdym klientom i avtonomnym vyborom provaydera DoH. Danuyu proverku prishlos' otklyuchit' v vypuske 77.0.1, tak kak ona prevratilos' v podobie DDoS-ataki na servis NextDNS, kotoryy ne spravilsya s nagruzkoj.

Predlagayemye v Firefox provaydery DoH otbirayutsya v sootvetstvii s trebovaniyami za zaupanja vredne DNS-resolverje, po katerih lahko DNS-operater uporabi podatke, pridobljene za razreševanje, le za zagotavljanje delovanja storitve, ne sme hraniti dnevnikov dlje kot 24 ur, ne more posredovati podatkov tretjim osebam in mora razkriti informacije o načinih obdelave podatkov. Storitev mora prav tako dati zavezo, da ne bo cenzurirala, filtrirala, posegala in blokirala DNS-prometa, razen v primerih, ki jih predvideva zakonodaja.

Iz svyazannykh s DNS-over-HTTPS sobytiy takzhe mozhno otmetit' odločitev kompanii Apple realizovat' podderzhku DNS-over-HTTPS i DNS-over-TLS v budushchikh vypuskakh iOS 14 i macOS 11, a takzhe dodajo podderzhku dopolneniy v formate WebExtension v Safari.

Pomnimo, da DoH lahko pride prav za preprečevanje uhajanja informacij o zahtevanih imenih gostiteljev preko DNS-strežnikov ponudnikov, boj proti napadom MITM in zamenjavi DNS-prometa (na primer, ko se povežete na javni Wi-Fi), spopadanje z blokadami na ravni DNS (DoH ne more nadomestiti VPN pri obvajanju blokad, izvedenih na ravni DPI) ali za organizacijo delovanja v primeru nemogoče neposredne povezave z DNS-strežniki (na primer, pri delu preko proxy). Medtem ko se v običajni situaciji DNS-poizvedbe neposredno pošiljajo določenim v sistemski konfiguraciji DNS-strežnikom, se v primeru DoH poizvedba za določitev IP-naslova gostitelja inkapsulira v HTTPS promet in pošlje na HTTP-strežnik, kjer resolver obravnava poizvedbe preko Web API. Obstoječi standard DNSSEC uporablja šifriranje le za avtentikacijo odjemalca in strežnika, ne ščiti pa prometa pred prestrezanjem in ne zagotavlja zasebnosti poizvedb.

Izvor: opennet.ru