«Älskar och hatar»: DNS över HTTPS

Vi diskuterar synpunkter på egenskaperna hos DNS over HTTPS, som nyligen har blivit ett "äpple av oenighet" bland internetleverantörer och webbläsarutvecklare.

/ Unsplash / Steve Halama

Kärnan i oenigheterna

Nyligen stora medier och tematiska plattformar (inklusive Habr), skriver ofta om protokollet DNS over HTTPS (DoH). Det krypterar förfrågningar till DNS-servrar och svar på dessa. Denna metod gör det möjligt att dölja värdnamnen som användaren kontaktar. Från publikationerna kan man dra slutsatsen att det nya protokollet (som IETF godkände 2018) delar IT-gemenskapen i två läger.

Den ena hälften anser att det nya protokollet ökar säkerheten på internet och implementerar det i sina applikationer och tjänster. Den andra hälften är övertygad om att teknologin bara komplicerar arbetet för systemadministratörer. Låt oss nu titta på argumenten från båda sidor.

Hur DoH fungerar

Innan vi går vidare till diskussionen om varför internetleverantörer och andra marknadsaktörer stödjer eller motsätter sig DNS over HTTPS, låt oss kort gå igenom principerna för dess funktion.

I fallet med DoH kapslas förfrågan om att bestämma IP-adressen in i HTTPS-trafik. Den sänds sedan till HTTP-servern, där den behandlas med hjälp av API. Här är ett exempel på en förfrågan från RFC 8484 (s. 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

Således är DNS-trafiken dold i HTTPS-trafiken. Klienten och servern kommunicerar via standardport 443. Som ett resultat förblir förfrågningarna till domänsystemet anonyma.

Varför det inte uppskattas

Motståndare till DNS over HTTPS säger, menar att det nya protokollet minskar säkerheten i anslutningarna. Enligt ord Paul Vixie, en medlem av DNS-utvecklarteamet, kommer det att bli svårare för systemadministratörer att blockera potentiellt skadliga webbplatser. Vanliga användare kommer samtidigt att förlora möjligheten att ställa in en sorts föräldrakontroll i webbläsarna.

Paul synpunkter delas av internetleverantörer i Storbritannien. Landets lagstiftning tvingar dem att blockera resurser med förbjudet innehåll. Men stödet för DoH i webbläsare komplicerar uppgiften att filtrera trafiken. Bland kritikerna av det nya protokollet finns även den brittiska regeringens kommunikationscenter (GCHQ) och stiftelsen Internet Watch Foundation (IWF), som för en lista över blockerade resurser.

I vår blogg på Habr:

• Kriget mot robo-samtal i USA — vem vinner och varför
• Brittiska telekomföretag kommer att betala sina kunder kompensation för bortfall av tjänster

Experter påpekar att DNS över HTTPS kan bli en cyberhot. I början av juli rapporterade säkerhetsspecialister från Netlab upptäckte den första viruset som använde det nya protokollet för att utföra DDoS-attacker — Godlua. Skadlig programvara använde DoH för att hämta textposter (TXT) och extrahera URL-adresser till styrservrar.

Krypterade DoH-förfrågningar gick obemärkt förbi antivirusprogrammet. Säkerhetsspecialister fruktar, att efter Godlua kommer fler skadliga program som är osynliga för passiv DNS-övervakning.

Men inte alla är emot

Till förmån för DNS över HTTPS skriver ingenjören från APNIC Geoff Houston i sin blogg. Enligt honom kommer det nya protokoll att kunna bekämpa DNS hijacking-attacker, som har blivit allt vanligare på sistone. Denna aspekt om idén att ansluta Twitter till Fediverse-näten (istället för att skapa nya inkompatibla standarder). enligt en januari-rapport från säkerhetsföretaget FireEye. Protokollets utveckling stöddes också av stora IT-företag. bekräftar Redan i början av förra året började DoH testas av Google. För en månad sedan lanserade företaget

General Availability-versionen av sin DoH-tjänst. Google har presenterat hoppas , att den kommer att öka säkerheten för personuppgifter på nätet och skydda mot MITM-attacker.En annan webbläsartillverkare — Mozilla —

har implementerat DNS över HTTPS sedan sommaren förra året. Samtidigt främjar företaget aktivt den nya teknologin inom IT-sektorn. För detta prisades Mozilla av Internet Services Providers Association (ISPA) att som till och med nominerade Mozilla till priset för 'internet-skurken av året'. I svar på det uttryckte företagets representanter , att de är besvikna över teleoperatörernas ovilja att förbättra den föråldrade internetinfrastrukturen. angavTETrebbien

/ Unsplash / Stora medier

och några internetleverantörer har uttalat sig till stöd för Mozilla. Bland annat har British Telecom , att det nya protokollet inte kommer att påverka innehållsfilter och kommer att öka säkerheten för brittiska användare. Under press från allmänheten var ISPA tvungna att dra tillbaka menarden 'onda' nomineringen. Även molnleverantörer, såsom , uppmanade till införandet av DNS över HTTPS. De erbjuder redan DNS-tjänster baserade på det nya protokollet. En komplett lista över webbläsare och klienter som stöder DoH finns på

Även molnleverantörer har varit drivande bakom införandet av DNS over HTTPS, till exempel Cloudflare. De erbjuder redan DNS-tjänster baserade på det nya protokollet. En komplett lista över webbläsare och klienter som stödjer DoH finns på GitHub.

I vilket fall som helst, går det inte att säga att motståndet mellan de två lägren är över. IT-specialister förutspår att om DNS over HTTPS verkligen ska bli en del av den massiva stacken av internetteknologier, kommer det att ta många decennier.

Vad mer skriver vi om i vår företagsblogg:

• Hur nätverket hos internetleverantören är uppbyggt
• Huvudtjänster i internetleverantörens nätverk
• Konvergens och enhetlighet — flera uppgifter på en enhet

Källa: habr.com