Po dveh letih razvoja je konzorcij ISC predstavil prvo stabilno razli\u010dico nove pomembne veje DNS stre\u017enika BIND 9.18. Podpora veji 9.18 bo omogo\u010dena tri leta do drugega trimese\u010dja 2025 v okviru raz\u0161irjenega \u017eivljenjskega cikla podpore. Podpora veji 9.11 se bo kon\u010dala marca, veji 9.16 pa sredi leta 2023. Za nadaljnji razvoj funkcionalnosti naslednje stabilne razli\u010dice BIND je bila oblikovana poskusna veja BIND 9.19.0. <\/p>\n
Izdanje BIND 9.18.0 je zna\u010dajno po implementaciji podr\u0161ke za tehnologije \u201eDNS preko HTTPS\u201c (DoH, DNS over HTTPS) i DNS preko TLS (DoT, DNS over TLS), kao i mehanizma XoT (XFR-over-TLS) za sigurni prenos sadr\u017eaja DNS zona izme\u0111u servera (podr\u017eava se i slanje i prijem zona preko XoT). Uz odgovaraju\u0107e postavke, jedan proces named sada mo\u017ee da obra\u0111uje ne samo tradicionalne DNS zahteve, ve\u0107 i zahteve poslate kori\u0161\u0107enjem DNS-over-HTTPS i DNS-over-TLS. Klijentska podr\u0161ka za DNS-over-TLS je ugra\u0111ena u alatku dig, koja se mo\u017ee koristiti za slanje zahteva preko TLS uz dodavanje flag-a \u201e+tls\u201c. <\/p>\n
Implementacija protokola HTTP\/2, ki se uporablja v DoH, temelji na knji\u017enici nghttp2, ki je vklju\u010dena med obvezne odvisnosti pri sestavljanju. Certifikati za DoH in DoT lahko zagotovi uporabnik ali se samodejno ustvarijo ob zagonu. <\/p>\n
Obrada zahteva kori\u0161\u0107enjem DoH i DoT se uklju\u010duje dodavanjem opcija \u201ehttp\u201c i \u201etls\u201c u direktivu listen-on. Za podr\u0161ku neza\u0161ti\u0107enom DNS-over-HTTP, u postavkama je potrebno navesti \u201etls none\u201c. Klju\u010devi se defini\u0161u u sekciji \u201etls\u201c. Standardni mre\u017eni portovi 853 za DoT, 443 za DoH i 80 za DNS-over-HTTP mogu se predefinisati kroz parametre tls-port, https-port i http-port. Na primer: <\/p>\n
tls local-tls { key-file \u201e\/path\/to\/priv_key.pem\u201c; cert-file \u201e\/path\/to\/cert_chain.pem\u201c; }; http local-http-server { endpoints { \u201e\/dns-query\u201c; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Med zna\u010dilnostmi implementacije DoH v BIND izstopa mo\u017enost prenosa de\u0161ifriranja za TLS na drug stre\u017enik, kar je lahko potrebno v situacijah, kjer se TLS certifikati hranijo na drugem sistemu (na primer v infrastrukturi z web stre\u017eniki) in jih upravlja drugo osebje. Podpora za nezapleten DNS-over-HTTP je \u0440\u0435\u0430\u043b\u0438\u0437\u0438\u0440\u0430\u043d\u0430 za olaj\u0161anje odpravljanja napak in kot raven za usmerjanje na drug stre\u017enik v notranji mre\u017ei (za prenos de\u0161ifriranja na lo\u010den stre\u017enik). Na prenosnem stre\u017eniku za generiranje TLS prometa se lahko uporablja nginx, podobno kot se organizira obkro\u017eitev HTTPS za spletna mesta. <\/p>\n
Druga zna\u010dilnost je integracija DoH kot skupnega transporta, ki se lahko uporablja ne le za obdelavo zahtevkov strankam do resolverja, ampak tudi pri izmenjavi podatkov med stre\u017eniki, pri prenosu con med avtoritativnim DNS stre\u017enikom in pri obdelavi vseh zahtevkov, ki jih podpirajo drugi DNS transporti. <\/p>\n
Me\u0111u nedostacima koji se mogu nadoknaditi onemogu\u0107avanjem kompilacije sa DoH\/DoT ili prebacivanjem enkripcije na drugi server, isti\u010de se op\u0161te komplikovanje baze koda \u2014 dodat je ugra\u0111eni HTTP server i TLS biblioteka, koji potencijalno mogu sadr\u017eavati ranjivosti i predstavljati dodatne vektore napada. Tako\u0111e, kori\u0161\u0107enjem DoH se pove\u0107ava saobra\u0107aj. <\/p>\n
Podsje\u0107amo da DNS-over-HTTPS mo\u017ee biti koristan za isklju\u010divanje curenja informacija o tra\u017eenim nazivima poslu\u017eitelja putem DNS poslu\u017eitelja pru\u017eatelja usluga, borbu protiv MITM napada i zamjene DNS prometa (na primjer, prilikom povezivanja na javne Wi-Fi mre\u017ee), te protiv blokada na razini DNS (DNS-over-HTTPS ne mo\u017ee zamijeniti VPN<\/a> u podru\u010dju zaobila\u017eenja blokada, implementiranih na razini DPI) ili za organizaciju rada kada nije mogu\u0107e izravno pristupiti DNS poslu\u017eiteljima (na primjer, prilikom rada putem proxyja). Ako se u uobi\u010dajenom scenariju DNS upiti izravno \u0161alju na odre\u0111ene DNS poslu\u017eitelje navedene u konfiguraciji sustava, tada se u slu\u010daju DNS-over-HTTPS upit za odre\u0111ivanje IP-naslove<\/a> naziva ugra\u0111uje u HTTPS promet i \u0161alje na HTTP poslu\u017eitelj, gdje resolver obra\u0111uje upite putem Web API-ja. <\/p>\n \u201eDNS over TLS\u201c se razlikuje od \u201eDNS over HTTPS\u201c primenom standardnog DNS protokola (obi\u010dno se koristi mre\u017eni port 853), umotanog u enkriptovanu komunikaciju organizovanu putem TLS protokola uz validaciju hosta preko TLS\/SSL sertifikata, koji je potvrdila sertifikaciona agencija. Postoje\u0107i standard DNSSEC koristi enkripciju samo za autentifikaciju klijenta i servera, ali ne \u0161titi saobra\u0107aj od presretanja i ne garantuje poverljivost zahteva. <\/p>\n Nekatere druge novosti: <\/p>\n\n