Handelsorganisationer , och , som företrÀder internetleverantörers intressen, till den amerikanska kongressen att uppmÀrksamma problemet med implementeringen av "DNS över HTTPS" (DoH, DNS over HTTPS) och begÀra detaljerad information frÄn Google om nuvarande och framtida planer för inkludering av DoH i sina produkter, samt att fÄ ett Ätagande om att inte som standard aktivera centraliserad behandling av DNS-förfrÄgningar i Chrome och Android utan en grundlig diskussion med andra aktörer inom ekosystemet och beaktande av möjliga negativa effekter.
Genom att förstÄ den övergripande nyttan med att anvÀnda kryptering för DNS-trafik, anser organisationerna att det Àr oacceptabelt att koncentrera kontrollen över namnkonvertering i en enda hand och koppla denna mekanism som standard till centraliserade DNS-tjÀnster. Specifikt hÀvdas det att Google rör sig mot att införa DoH som standard i Android och Chrome, vilket, om det kopplas till Googles servrar, skulle leda till en krÀnkning av den decentraliserade karaktÀren hos DNS-infrastrukturen och skapa en enda punkt för misslyckande.
Eftersom Chrome och Android dominerar marknaden, skulle en pÄtvingad anvÀndning av sina DoH-servrar ge Google möjlighet att kontrollera en stor del av anvÀndarnas DNS-förfrÄgningsflöden. Förutom att sÀnka tillförlitligheten i infrastrukturen, skulle ett sÄdant steg ocksÄ ge Google obefogade fördelar gentemot konkurrenter, eftersom företaget skulle fÄ ytterligare information om anvÀndarnas aktiviteter som kan anvÀndas för att spÄra anvÀndarbeteende och riktad reklam.
AnvÀndningen av DoH kan ocksÄ stör verksamheten inom omrÄden som förÀldrakontrollsystem, Ätkomst till interna namnrymder i företagsystem, ruttval i system för innehÄllsleveransoptimering och genomförande av domstolsorder i samband med bekÀmpning av spridning av olagligt innehÄll och utnyttjande av minderÄriga. DNS-förfalskning anvÀnds ocksÄ ofta för att omdirigera anvÀndare till en sida med information om att abonnentens medel har tagit slut eller för att logga in pÄ ett trÄdlöst nÀtverk.
Google , vilket gör att farhÄgorna Àr grundlösa, eftersom den inte har för avsikt att som standard aktivera DoH i Chrome och Android. I Chrome 78 kommer experimentell standardaktivering av DoH endast att omfatta anvÀndare vars instÀllningar anger DNS-leverantörer som erbjuder DoH som alternativ till traditionell DNS. För de som anvÀnder DNS-servrar som tillhandahÄlls av sina lokala internetleverantörer kommer DNS-förfrÄgningar att fortsÀtta att skickas via den systematiska resolvern. Det innebÀr att Googles ÄtgÀrder endast handlar om att byta till en motsvarande tjÀnst frÄn den aktuella leverantören för att övergÄ till en sÀker metod för hantering av DNS. Experimentell aktivering av DoH Àr ocksÄ planerad i Firefox, men till skillnad frÄn Google har Mozilla standard DNS-server CloudFlare. Denna metod har redan orsakat frÄn OpenBSD-projektet.
Vi pÄminner om att DoH kan vara anvÀndbart för att förhindra lÀckage av information om begÀrda vÀrdnamn genom DNS-servrar som tillhandahÄlls av leverantörer, bekÀmpa MITM-attacker och manipulation av DNS-trafik (till exempel vid anslutning till offentliga Wi-Fi-nÀtverk), motverka blockeringar pÄ DNS-nivÄ (DoH kan inte ersÀtta VPN för att kringgÄ blockeringar implementerade pÄ DPI-nivÄ) eller för att organisera verksamheten nÀr direktkontakt med DNS-servrar Àr omöjlig (till exempel vid arbete via en proxy).
Om DNS-förfrÄgningar direkt i normala situationer skickas till specifika DNS-servrar som anges i systemets konfiguration, sÄ inkapslas i fallet med DoH förfrÄgan om IP-adressen för vÀrden i HTTPS-trafiken och skickas till en HTTP-server dÀr resolvern behandlar förfrÄgningarna via Web API. Den nuvarande standarden DNSSEC anvÀnder kryptering endast för autentisering av klienten och servern, men skyddar inte trafiken frÄn avlyssning och garanterar inte konfidentialitet av förfrÄgningar. För nÀrvarande finns ungefÀr som stöder DoH.
KĂ€lla: opennet.ru
