Utvecklarna av Firefox Om avslutningen av testningen av DNS över HTTPS (DoH, DNS over HTTPS) och avsikten att i slutet av september aktivera denna teknologi som standard för anvÀndare i USA. Aktiveringen kommer att ske successivt, först för en liten procentandel av anvÀndarna, och vid avsaknad av problem gradvis utöka till 100%. Efter att USA har omfattats kommer möjligheten att aktivera DoH Àven i andra lÀnder att övervÀgas.
Tester som har genomförts under Äret har visat pÄ tillförlitlighet och god prestanda hos tjÀnsten, samt har gjort det möjligt att identifiera vissa situationer dÀr DoH kan orsaka problem, och utveckla lösningar för att kringgÄ dem (till exempel har de analyserats med trafiksoptimering i innehÄllsleveransnÀtverk, förÀldrakontroll och företags interna DNS-zoner).
Vikten av kryptering av DNS-trafik bedöms som en avgörande faktor för anvÀndarsÀkerhet, dÀrmed har det beslutats att aktivera DoH som standard, men i den inledande fasen endast för anvÀndare i USA. Efter aktiveringen av DoH kommer en varning att visas för anvÀndaren, vilket gör det möjligt att avstÄ frÄn att anvÀnda de centraliserade DoH-DNS-servrarna och ÄtergÄ till det traditionella sÀttet att skicka okrypterade förfrÄgningar till ISP:s DNS-server (istÀllet för den distribuerade infrastrukturen av DNS-upplösare, dÀr DoH anvÀnder en bindning till en viss DoH-tjÀnst, som kan ses som en enda felpunkt).
Vid aktivering av DoH kan det uppstÄ problem med förÀldrakontrollsystem och företagsnÀtverk som anvÀnder en struktur för DNS-namn som endast Àr tillgÀnglig för interna nÀtverk för att omvandla intranÀtadresser och företagsvÀrdar. För att lösa problem med sÄdana system har ett kontrollsystem lagts till som automatiskt inaktiverar DoH. Kontrollerna utförs vid varje start av webblÀsaren eller vid upptÀckten av en Àndrad subnet.
Automatisk ÄtergÄng till anvÀndning av systemets standardresolver Àr ocksÄ tillgÀnglig vid fel i upplösning via DoH (till exempel vid nÀtverksproblem med DoH-leverantören eller om det uppstÄr störningar i dess infrastruktur). Meningen med sÄdana kontroller Àr tvivelaktig, eftersom det inte finns nÄgot som hindrar angripare, som kontrollerar resolverns funktion eller kan blanda sig i trafiken, frÄn att simulera ett sÄdant beteende för att avaktivera krypteringen av DNS-trafik. Problemet Àr löst genom att lÀgga till alternativet "DoH always" till instÀllningarna (som inte Àr aktiverat som standard), dÀr automatisk avaktivering inte tillÀmpas, vilket Àr en rimlig kompromiss.
För att identifiera företagsresolvrar utförs kontroller av ovanliga toppdomÀner (TLD) och systemresolvern returnerar intranÀtadresser. För att identifiera aktivering av förÀldrakontroll görs ett försök att lösa namnet exampleadultsite.com, och om resultatet inte överensstÀmmer med den faktiska IP-adressen, anses det att blockering av vuxeninnehÄll Àr aktiv pÄ DNS-nivÄ. Som kÀnnetecken kontrolleras ocksÄ IP-adresserna för Google och YouTube för eventuell omdirigering till restrict.youtube.com, forcesafesearch.google.com och restrictmoderate.youtube.com. Dessutom Mozilla implementera en enhetlig kontrollhost , som kan anvÀndas av internetleverantörer och tjÀnster för förÀldrakontroll som en markör för att stÀnga av DoH (om vÀrden inte kan bestÀmmas, stÀnger Firefox av DoH).
Att arbeta genom en enda DoH-tjÀnst kan ocksÄ potentiellt leda till problem med trafikoptimering i innehÄllsleveransnÀtverk som gör trafikbalansering med hjÀlp av DNS (CDN-nÀtets DNS-server formar svaret med hÀnsyn till resolverens adress och ger den nÀrmaste vÀrden för att hÀmta innehÄllet). Att skicka en DNS-förfrÄgan frÄn en resolver nÀra anvÀndaren i sÄdana CDN-resulterar i att adressen för den nÀrmaste vÀrden till anvÀndaren returneras, men om DNS-förfrÄgan skickas frÄn en centraliserad resolver kommer adressen för den vÀrd som ligger nÀrmast DNS-over-HTTPS-servern att ges. Tester i praktiken har visat att tillÀmpningen av DNS-over-HTTP vid anvÀndning av CDN praktiskt taget inte ledde till förseningar före överföringen av innehÄll (för snabba anslutningar översteg förseningarna inte 10 millisekunder, medan pÄ lÄngsamma kommunikationskanaler observerades till och med en ökning av hastigheten). För att förmedla information om klientens position till CDN-resolvern har anvÀndningen av tillÀgget EDNS Client Subnet ocksÄ beaktats.
Vi pÄminner om att DoH kan vara anvÀndbart för att förhindra lÀckor av information om efterfrÄgade vÀrdnamn via nÀtverksleverantörens DNS-servrar, bekÀmpa MITM-attacker och manipulering av DNS-trafik, motarbeta DNS-blockeringar eller för att möjliggöra anslutningar nÀr direkt kontakt med DNS-servrar Àr omöjlig (till exempel vid anvÀndning av en proxy). I normala fall skickas DNS-förfrÄgningar direkt till specifika DNS-servrar som anges i systemets konfiguration, men med DoH inkapslas IP-adressförfrÄgan i HTTPS-trafik och skickas till en HTTP-server dÀr en resolver hanterar förfrÄgningar via ett Web API. Den existerande standarden DNSSEC anvÀnder kryptering endast för autentisering av klient och server, men skyddar inte trafiken frÄn avlyssning och garanterar ingen konfidentialitet för förfrÄgningar.
För att aktivera DoH i about:config mÄste du Àndra vÀrdet för variabeln network.trr.mode, vilket stöds frÄn och med Firefox 60. VÀrdet 0 inaktiverar helt DoH; 1 - anvÀnds DNS eller DoH, beroende pÄ vad som Àr snabbare; 2 - anvÀnds DoH som standard och DNS som reserv; 3 - anvÀnds enbart DoH; 4 - speglingslÀge dÀr bÄde DoH och DNS anvÀnds parallellt. Som standard anvÀnds CloudFlare DNS-server, men den kan Àndras med parameter network.trr.uri, till exempel kan du stÀlla in "https://dns.google.com/experimental" eller "https://9.9.9.9/dns-query".
KĂ€lla: opennet.ru
