Mozilla har introducerat en tredje DNS-over-HTTPS-leverantör för Firefox

Företaget Mozilla har ingått ett avtal med en tredje DNS-leverantör över HTTPS (DoH, DNS over HTTPS) för Firefox. Förutom de tidigare erbjudna DNS-servrarna från CloudFlare ("https://1.1.1.1/dns-query") och NextDNS (https://dns.nextdns.io/id), kommer även tjänsten från Comcast (https://doh.xfinity.com/dns-query) att inkluderas i inställningarna. Aktivera DoH och välj leverantör kan i nätverksanslutningens inställningar.

Kom ihåg att en testcheck av DNS over HTTPS infördes i Firefox 77, som skickade 10 provfrågor från varje klient och automatiskt valde DoH-leverantör. Denna testcheck var tvungen att stängas av i utgåvan 77.0.1, eftersom den liknade en DDoS-attack på tjänsten NextDNS, som inte klarade belastningen.

De DoH-leverantörer som erbjuds i Firefox väljs ut enligt kraven för pålitliga DNS-resolvers, enligt vilka DNS-operatören endast får använda de erhållna uppgifterna för att driva tjänsten, inte får lagra loggar längre än 24 timmar, inte får överföra uppgifter till tredje parter och måste avslöja information om databehandlingsmetoder. Tjänsten måste också förplikta sig att inte censurera, filtrera, ingripa i eller blockera DNS-trafik, förutom i de situationer som föreskrivs av lagstiftningen.

Bland relaterade händelser kring DNS-over-HTTPS kan man också nämna beslutet att Apple implementerar stöd för DNS-over-HTTPS och DNS-over-TLS i kommande utgåvor av iOS 14 och macOS 11, samt lägga till stöd för tillägg i WebExtension-formatet i Safari.

Vi påminner om att DoH kan vara användbart för att skydda mot läckor av information om begärda värdnamn genom leverantörernas DNS-servrar, bekämpa MITM-attacker och manipulering av DNS-trafik (t.ex. när man ansluter till offentliga Wi-Fi-nätverk), motstå DNS-blockeringar (DoH kan inte ersätta VPN när det gäller att kringgå blockeringar genomförda på DPI-nivå) eller för att möjliggöra drift när det inte går att direkt nå DNS-servrar (t.ex. vid användning av en proxy). I vanliga situationer skickas DNS-förfrågningar direkt till specifika DNS-servrar som är konfigurerade i systemet, medan i DoH-presentationen inkapslas IP-adressförfrågan inom HTTPS-trafik och skickas till en HTTP-server, där resolvern behandlar förfrågningarna via Web API. Den befintliga standarden DNSSEC använder kryptering endast för autentisering av klienten och servern, men skyddar inte trafiken från avlyssning och garanterar inte sekretessen för förfrågningarna.

Källa: opennet.ru