Sledi podjetje Google o nameri izvesti poskus za preverjanje implementacije »DNS prek HTTPS« (DoH, DNS over HTTPS), razvijajoče se za brskalnik Chrome. V izvodu Chrome 78, načrtovanem za 22. oktober, bodo nekatere kategorije uporabnikov privzeto na uporabo DoH. V poskusu vključitve DoH bodo sodelovali le uporabniki, pri katerih trenutne sistemske nastavitve določajo določene DNS-provajalce, priznane za združljive z DoH.
Na bel seznam DNS-provajalcev so vključeni Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) in DNS.SB (185.222.222.222, 185.184.222.222). Če bo v uporabnikovih nastavitvah DNS naveden eden od zgoraj omenjenih DNS-strežnikov, bo DoH v Chromu privzeto aktiviran. Tisti, ki uporabljajo DNS-strežnike, ki jih zagotavlja lokalni internetni ponudnik, pa bodo imeli vse nespremenjeno, in za DNS poizvedbe se bo še naprej uporabljal sistemski rezolutor.
Pomembna razlika v uvajanju DoH v Firefoxu, kjer se bo postopno vključevanje DoH privzeto že konec septembra, je odsotnost vezanosti na eno samo storitev DoH. Če je v Firefoxu privzeto DNS-strežnik CloudFlare, se bo v Chromu le nadgradil način delovanja z DNS na ekvivalentno storitev, brez menjave DNS-provajalca. Na primer, če ima uporabnik v sistemskih nastavitvah naveden DNS 8.8.8.8, bo v Chromu DoH-storitev Google (»https://dns.google.com/dns-query«), če je DNS – 1.1.1.1, pa bo aktivirana DoH storitev Cloudflare (»https://cloudflare-dns.com/dns-query«) in
Po želji bo uporabnik lahko aktiviral ali deaktiviral DoH z nastavitvijo »chrome://flags/#dns-over-https«. Podprti so trije načini delovanja »secure«, »automatic« in »off«. V načinu »secure« se hosti določajo le na podlagi prej predpomnjenih varnih vrednosti (pridobljenih preko zaščitene povezave) in poizvedb preko DoH, povrnitev na običajni DNS se ne uporabi. V načinu »automatic«, če DoH in zaščiteni predpomnilnik nista dostopna, je dovoljeno pridobivanje podatkov iz nevarnega predpomnilnika in povezovanje preko tradicionalnega DNS. V načinu »off« se najprej preveri skupni predpomnilnik, in če podatkov ni, poizvedba pošlje preko sistemskega DNS. Način se določi preko kDnsOverHttpsMode, vzorec usklajevanja strežnikov pa preko kDnsOverHttpsTemplates.
Eksperiment za vključitev DoH bo potekal na vseh podprtih platformah v Chromu, razen na sistemih Linux in iOS zaradi zahtevnosti razumevanja nastavitev resolverja in omejenega dostopa do sistemskih nastavitev DNS. V primeru, da po vključitvi DoH pride do težav pri pošiljanju zahtevkov na server DoH (na primer zaradi njegove blokade, motenj v omrežni povezljivosti ali okvare), bo brskalnik samodejno vrnil sistemske nastavitve DNS.
Cilj eksperimenta je končna preveritev implementacije DoH in raziskava vpliva uporabe DoH na zmogljivost. Treba je omeniti, da je bila dejanska podpora DoH dodana v kodo Chrom v februarju, toda za nastavitev in vključitev DoH zagnati Chrome s posebnim zastavico in očitnim nizom možnosti.
Ponovno opomnimo, da je DoH lahko koristen za preprečevanje uhajanja podatkov o zahtevanih imenih gostiteljev preko DNS strežnikov ponudnikov, boj proti MITM napadom in zamenjavi DNS prometa (na primer pri povezovanju z javnim Wi-Fi), preprečevanje blokad na nivoju DNS (DoH ne more nadomestiti VPN za obvoz blokad, izvedenih na nivoju DPI) ali za zagotavljanje delovanja v primeru, da neposreden dostop do DNS strežnikov ni mogoč (na primer pri delu prek posrednika). Medtem ko se v običajnih razmerah DNS zahtevki neposredno pošiljajo določenim DNS strežnikom v sistemski konfiguraciji, se v primeru DoH zahteva za določitev IP naslova gostitelja enkapsulira v HTTPS promet in pošlje HTTP strežniku, na katerem resolver obdeluje zahteve preko Web API. Obstoječi standard DNSSEC uporablja šifriranje le za overitev stranke in strežnika, vendar ne ščiti prometa pred prestrezanjem in ne zagotavlja zasebnosti zahtevkov.
Izvor: opennet.ru
