{"id":36652,"date":"2019-10-31T22:12:57","date_gmt":"2019-10-31T19:12:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/lyubit-i-ne-lyubit-dns-over-https\/"},"modified":"2019-10-31T22:12:57","modified_gmt":"2019-10-31T19:12:57","slug":"lyubit-i-ne-lyubit-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/lyubit-i-ne-lyubit-dns-over-https","title":{"rendered":"\u201eVoljeti i ne voljeti\u201d: DNS preko HTTPS-a","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Razpravljamo o mnenjih glede delovanja DNS over HTTPS, ki je v zadnjem \u010dasu postalo 'jabolko spora' med internetnimi ponudniki in razvijalci brskalnikov.<\/p>\n

\"\u201eVoljeti<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Steve Halama<\/a><\/noindex><\/i><\/p>\n

Bistvo nesoglasij<\/h2>\n

\nV zadnjem \u010dasu velika medijska podjetja<\/a><\/noindex> in tematski portali<\/a><\/noindex> (vklju\u010dno s Habr), pogosto pi\u0161ejo o protokolu DNS over HTTPS (DoH). Ta \u0161ifrira poizvedbe na DNS stre\u017enik in odgovore nanje. Tak pristop omogo\u010da prikritje imen gostiteljev, s katerimi se uporabnik povezuje. Iz objav lahko sklepamo, da je nov protokol (v IETF je bil odobren<\/a><\/noindex> v 2018) razdelil IT skupnost na dva tabora.<\/p>\n

Polovica meni, da nov protokol pove\u010duje varnost interneta in ga uvaja v svoje aplikacije in storitve. Druga polovica je prepri\u010dana, da tehnologija le ote\u017euje delo sistemskim administratorjem. Nadalje, razpravljali bomo o argumentih obeh strani. <\/p>\n

Kako deluje DoH<\/h2>\n

\nPreden preidemo k pogovoru o tem, zakaj se internetni ponudniki in drugi tr\u017eni akterji zavzemajo za ali proti DNS over HTTPS, kratko razlo\u017eimo na\u010dela njegovega delovanja.<\/p>\n

V primeru DoH se poizvedba za dolo\u010ditev IP naslova inkapsulira v HTTPS promet. Nato gre na HTTP stre\u017enik, kjer se obdeluje s pomo\u010djo API. Tukaj je primer poizvedbe iz RFC 8484 (str.6<\/a><\/noindex>):<\/p>\n

   :method = GET\n   :scheme = https\n   :authority = dnsserver.example.net\n   :path = \/dns-query?\n           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl\n           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z\n           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ\n   accept = application\/dns-message\n<\/code><\/pre>\n
\nTako je DNS promet skrit v HTTPS prometu. Stranka in stre\u017enik komunicirata preko standardnega porta 443. Posledi\u010dno ostajajo poizvedbe v sistemu domen anonimne.<\/p>\n
Zakaj ga ne marajo<\/h2>\n
\nNasprotniki DNS over HTTPS pravi<\/a><\/noindex>, da nov protokol zmanj\u0161a varnost povezav. Po besedah<\/a><\/noindex> Paulu Vixiju (Paul Vixie), \u010dlanu ekipe razvijalcev DNS, bo sistemskim administratorjem te\u017eje blokirati potencialno \u0161kodljive spletne strani. Obi\u010dajni uporabniki pa bodo morda izgubili mo\u017enost nastavitve pogojev za star\u0161evski nadzor v brskalnikih.<\/p>\n
Mnenje Paula delijo internetni ponudniki v Zdru\u017eenem kraljestvu. Zakonodaja dr\u017eave zavezuje<\/a><\/noindex> jih, da blokirajo vire s prepovedano vsebino. Toda podpora DoH v brskalnikih ote\u017euje nalogo filtriranja prometa. Med kritiki novega protokola sta tudi Center za vladno komunikacijo Anglije (GCHQ<\/a><\/noindex>) in fundacija Internet Watch Foundation (IWF<\/a><\/noindex>), ki vodi register blokiranih virov.<\/p>\n
Na na\u0161em blogu na Habr:<\/b><\/p>\n