Utvecklarna av DNS-servern BIND har meddelat att de har lagt till serverstöd för teknologierna "DNS över HTTPS" (DoH, DNS over HTTPS) och DNS över TLS (DoT, DNS over TLS) i den experimentella versionen 9.17, samt en mekanism för XFR-over-TLS för sÀker överföring av DNS-zoninnehÄll mellan servrar. DoH Àr tillgÀnglig för testning i version 9.17.10, medan stöd för DoT finns frÄn version 9.17.7. Efter stabilisering kommer stöd för DoT och DoH att bakportas till den stabila grenen 9.16.
Implementeringen av protokollet HTTP/2, som anvÀnds i DoH, baseras pÄ anvÀndningen av biblioteket nghttp2, vilket ingÄr bland byggberoenden (i framtiden planeras biblioteket att flyttas till i gruppen av valfria beroenden). BÄde krypterade (TLS) och okrypterade anslutningar via HTTP/2 stöds. Med lÀmpliga instÀllningar kan en named-process nu inte bara hantera traditionella DNS-förfrÄgningar, utan ocksÄ förfrÄgningar som skickas med hjÀlp av DoH (DNS-over-HTTPS) och DoT (DNS-over-TLS). Stöd för HTTPS pÄ klientsidan (dig) har Ànnu inte implementerats. Stöd för XFR-over-TLS Àr tillgÀngligt för bÄde inkommande och utgÄende förfrÄgningar.
Behandling av förfrÄgningar med DoH och DoT aktiveras genom att lÀgga till alternativen http och tls i lyssna-direktivet. För att stödja okrypterad DNS-over-HTTP bör "tls none" anges i instÀllningarna. Nycklar definieras i sektionen "tls". Standard nÀtverksportar 853 för DoT, 443 för DoH och 80 för DNS-over-HTTP kan ÄsidosÀttas genom parametrarna tls-port, https-port och http-port. Till exempel: tls local-tls { key-file "\/path\/to\/priv_key.pem"; cert-file "\/path\/to\/cert_chain.pem"; }; http local-http-server { endpoints { "\/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }
Bland de utmÀrkande egenskaperna för implementationen av DoH i BIND mÀrks att den integreras som en gemensam transport som kan anvÀndas inte bara för att bearbeta förfrÄgningar frÄn klienter till resolvern, utan ocksÄ vid datadelning mellan servrar, vid överföring av zoner av auktorativa DNS-servrar och vid behandling av alla förfrÄgningar som stöds av andra DNS-transporter.
En annan funktion Àr möjligheten att flytta krypteringsoperationerna för TLS till en annan server, vilket kan behövas i situationer dÀr TLS-certifikat lagras pÄ ett annat system (till exempel i en infrastruktur med webbservrar) och hanteras av annan personal. Stödet för okrypterad DNS-over-HTTP har implementerats för att förenkla felsökning och som ett lager för att vidarebefordra trafik i det interna nÀtverket, pÄ grundval av vilket kryptering kan organiseras pÄ en annan server. PÄ den fristÄende servern kan nginx anvÀndas för att generera TLS-trafik, pÄ liknande sÀtt som HTTPS-bindningar organiseras för webbplatser.
Vi pÄminner om att DNS-over-HTTPS kan vara anvÀndbart för att förhindra lÀckor av information om begÀrda vÀrdnamn via internetleverantörernas DNS-servrar, för att motverka MITM-attacker och modifikation av DNS-trafik (till exempel nÀr man ansluter till offentliga Wi-Fi-nÀt), samt för att motstÄ blockeringar pÄ DNS-nivÄ (DNS-over-HTTPS kan inte ersÀtta VPN nÀr det gÀller att kringgÄ blockeringar som genomförts pÄ DPI-nivÄ) eller för att organisera arbete nÀr direkt Ätkomst till DNS-servrar inte Àr möjlig (till exempel nÀr man arbetar via en proxy). I en vanlig situation skickas DNS-förfrÄgningar direkt till specifika DNS-servrar som definieras i systemets konfiguration, men i fallet DNS-over-HTTPS inkapslas förfrÄgningen för att bestÀmma IP-adresser vÀrden i HTTPS-trafiken och skickas till en HTTP-server, dÀr resolvern hanterar förfrÄgningarna via Web API.
«DNS över TLS» skiljer sig frÄn «DNS över HTTPS» genom anvÀndningen av det standard DNS-protokollet (vanligtvis anvÀnds nÀtverksport 853), inbÀddat i en krypterad kommunikationskanal som organiseras med hjÀlp av TLS-protokollet och validering av vÀrd via TLS/SSL-certifikat, som utfÀrdas av en certifieringsmyndighet. Den befintliga standarden DNSSEC anvÀnder kryptering endast för autentisering av klient och server, men skyddar inte trafiken frÄn avlyssning och garanterar inte sekretess för förfrÄgningar.
KĂ€lla: opennet.ru
