DNS-over-HTTPS är som standard aktiverat i Firefox för användare i USA.

Utvecklarna av Firefox 400 företag. Bland dessa finns både små startups och stora IT-företag. om aktiveringen av DNS över HTTPS (DoH, DNS over HTTPS) som standard för användare i USA. Kryptering av DNS-trafik anses vara en avgörande skyddsfaktor för användarna. Från och med idag aktiveras DoH som standard för alla nya installationer utförda av användare i USA. Befintliga användare i USA planeras att byta till DoH inom några veckor. I Europeiska unionen och andra länder planeras ingen standardaktivering av DoH än. inte planerat.

Efter aktivering av DoH får användaren ett meddelande som ger möjlighet att avstå från att använda de centraliserade DoH-DNS-servrarna och återgå till det traditionella systemet för att skicka okrypterade förfrågningar till operatörens DNS-server. Istället för en distribuerad infrastruktur av DNS-resolvrar används DoH en koppling till en specifik DoH-tjänst, som kan ses som en enda felpunkt. För närvarande erbjuds anslutning via två DNS-leverantörer — CloudFlare (som standard) och NextDNS.

Byt leverantör eller inaktivera DoH kan i inställningarna för nätverksanslutning. Till exempel kan man ange en alternativ DoH-server "https://dns.google/dns-query" för att ansluta till Google-servrar, "https://dns.quad9.net/dns-query" — Quad9 och "https://doh.opendns.com/dns-query" — OpenDNS. I about:config finns också en inställning för network.trr.mode, genom vilken man kan ändra DoH-arbetsläget: värde 0 inaktiverar helt DoH; 1 — använder DNS eller DoH beroende på vilken som är snabbare; 2 — använder DoH som standard, och DNS som en reserv; 3 — använder endast DoH; 4 — speglingsläge där DoH och DNS används parallellt.

Vi påminner om att DoH kan vara användbart för att skydda mot läckor av information om begärda värdnamn genom leverantörernas DNS-servrar, bekämpa MITM-attacker och manipulering av DNS-trafik (t.ex. när man ansluter till offentliga Wi-Fi-nätverk), motstå DNS-blockeringar (DoH kan inte ersätta VPN när det gäller att kringgå blockeringar genomförda på DPI-nivå) eller för att möjliggöra drift när det inte går att direkt nå DNS-servrar (t.ex. vid användning av en proxy). I vanliga situationer skickas DNS-förfrågningar direkt till specifika DNS-servrar som är konfigurerade i systemet, medan i DoH-presentationen inkapslas IP-adressförfrågan inom HTTPS-trafik och skickas till en HTTP-server, där resolvern behandlar förfrågningarna via Web API. Den befintliga standarden DNSSEC använder kryptering endast för autentisering av klienten och servern, men skyddar inte trafiken från avlyssning och garanterar inte sekretessen för förfrågningarna.

För urvalet av erbjudna DoH-leverantörer i Firefox har krav formulerats krav för pålitliga DNS-resolvers, enligt vilka DNS-operatören endast får använda de erhållna uppgifterna för att driva tjänsten, inte får lagra loggar längre än 24 timmar, inte får överföra uppgifter till tredje parter och måste avslöja information om databehandlingsmetoder. Tjänsten måste också förplikta sig att inte censurera, filtrera, ingripa i eller blockera DNS-trafik, förutom i de situationer som föreskrivs av lagstiftningen.

Använd DoH med försiktighet. Till exempel, i Ryssland är IP-adresserna 104.16.248.249 och 104.16.249.249, kopplade till den som standard erbjudna DoH-servern mozilla.cloudflare-dns.com, inregistrerats på listor låser Roskomnadzor på begäran av domstolen i Stavorpol den 10.06.2013.

Användningen av DoH kan även leda till problem inom områden som föräldrakontrollsystem, åtkomst till interna namnrymdar i företagsystem, ruttval i system för optimering av innehållsleverans och genomförande av rättsliga beslut mot spridning av olagligt innehåll och utnyttjande av minderåriga. För att kringgå sådana problem har ett system för kontroller implementerats och testats, vilket automatiskt inaktiverar DoH under vissa förhållanden.

För att identifiera företagsresolverare utförs kontroller av ovanliga toppdomäner (TLD) och återkoppling av intranätadresser av systemresolveraren. För att fastställa om föräldrakontrollen är aktiv görs ett försök att lösa namnet exampleadultsite.com, och om resultatet inte överensstämmer med den faktiska IP-adressen, anses det att blockeringen av vuxeninnehåll på DNS-nivå är aktiv. Som tecken kontrolleras också IP-adresserna för Google och YouTube för att se om de har omdirigerats till restrict.youtube.com, forcesafesearch.google.com och restrictmoderate.youtube.com. Dessa kontroller möjliggör för angripare, som kontrollerar resolverns funktion eller kan ingripa i trafiken, att simulera ett sådant beteende för att stänga av kryptering av DNS-trafik.

Att arbeta genom en enda DoH-tjänst kan också potentiellt leda till problem med trafikoptimering i innehållsleveransnätverk som gör trafikbalansering med hjälp av DNS (CDN-nätets DNS-server formar svaret med hänsyn till resolverens adress och ger den närmaste värden för att hämta innehållet). Att skicka en DNS-förfrågan från en resolver nära användaren i sådana CDN-resulterar i att adressen för den närmaste värden till användaren returneras, men om DNS-förfrågan skickas från en centraliserad resolver kommer adressen för den värd som ligger närmast DNS-over-HTTPS-servern att ges. Tester i praktiken har visat att tillämpningen av DNS-over-HTTP vid användning av CDN praktiskt taget inte ledde till förseningar före överföringen av innehåll (för snabba anslutningar översteg förseningarna inte 10 millisekunder, medan på långsamma kommunikationskanaler observerades till och med en ökning av hastigheten). För att förmedla information om klientens position till CDN-resolvern har användningen av tillägget EDNS Client Subnet också beaktats.

Källa: opennet.ru