Razvijalci Mozilla o izvajanju nove študije v okviru priprave na uvedbo funkcije dostopa do DNS prek HTTPS (DoH, DNS over HTTPS). Med eksperimentom bo zbran statistični podatki o uporabi sistemov starševskega nadzora in korporativnih resolverjev na napravah nekaterih uporabnikov različic Firefox v ZDA. Z eksperimenta se je mogoče umakniti preko strani „about:studies“ (študija je predstavljena na seznamu kot „Detection Logic for DNS-over-HTTPS“).
Za raziskavo bomo zbrali anonimizirane podatke, ki vključujejo le števce, brez navedbe konkretnih naslovov in domen. Za odkrivanje sistemov starševskega nadzora bomo poslali zahtevo za določitev imena exampleadultsite.com in če se ne ujema s dejanskim IP-jem, lahko menimo, da je aktivna blokada vsebin za odrasle na ravni DNS. Ocenjene bodo tudi IP-naslove vrnjene vrednosti za Google in YouTube, da preverimo njihovo preusmeritev na restrict.youtube.com, forcesafesearch.google.com in restrictmoderate.youtube.com.
Za odkrivanje uporabe notranjih korporativnih resolverjev bomo preverili določene gostiteljske naslove ob odpiranju spletnih strani glede uporabe netipičnih vrhnjih domen (TLD) in vrnitev intranetnih naslovov zanje. Motiv za izvedbo eksperimenta so skrbi, da bi privzeta nastavitev DNS-over-HTTPS lahko motila delovanje delujočih sistemov starševskega nadzora, prav tako pa bi lahko povzročila težave uporabnikom korporativnih omrežij, ki uporabljajo DNS strežnike, ki posredujejo informacije o notranjih domenah, ki niso vidne v zunanjem omrežju.
Omenimo, da je DoH lahko koristen za izključitev puščanja podatkov o zahtevanih imenih gostiteljev preko DNS strežnikov ponudnikov, za boj proti MITM napadom in zamenjavi DNS prometa, za preprečevanje blokad na ravni DNS ali za omogočanje delovanja v primeru nezmožnosti neposrednega dostopa do DNS strežnikov (na primer pri delovanju preko proxy). V običajni situaciji se DNS poizvedbe neposredno pošiljajo na določene DNS strežnike, ki jih določa konfiguracija sistema, medtem ko se v primeru DoH poizvedba za določitev IP naslova gostitelja inkapsulira v HTTPS promet in pošlje na HTTP strežnik, kjer resolver obdeluje poizvedbe preko Web API. Obstoječi standard DNSSEC uporablja šifriranje le za avtentikacijo stranke in strežnika, vendar ne ščiti prometa pred prestrezanjem in ne zagotavlja zasebnosti poizvedb.
Za vključitev DoH v about:config je treba spremeniti vrednost spremenljivke network.trr.mode, ki je podprta od različice Firefox 60 dalje. Vrednost 0 popolnoma izklopi DoH; 1 uporablja DNS ali DoH, odvisno od tega, katera je hitrejša; 2 uporablja DoH privzeto, DNS pa kot rezervno možnost; 3 uporablja samo DoH; 4 je način zrcaljenja, pri katerem sta DoH in DNS aktivna hkrati. Privzeto se uporablja strežnik DNS podjetja CloudFlare, vendar ga je mogoče spremeniti preko parametra network.trr.uri, na primer lahko nastavite „https://dns.google.com/experimental“ ali „https://9.9.9.9/dns-query“.
Izvor: opennet.ru
