I Chrome 78 kommer experiment med DNS-over-HTTPS att påbörjas

Följande Mozilla Google rapporterade angav sin avsikt att genomföra ett experiment för att testa implementationen av "DNS över HTTPS" (DoH, DNS over HTTPS) som utvecklas för webbläsaren Chrome. I Chrome 78, som är planerad att släppas den 22 oktober, kommer vissa användarkategorier som standard översätts att använda DoH. Endast användare vars nuvarande systeminställningar anger vissa DNS-leverantörer som anses vara kompatibla med DoH kommer att delta i DoH-experimentet.

DNS-leverantörer i den vita listan inkluderar tjänster Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) och DNS.SB (185.222.222.222, 185.184.222.222). Om en av de nämnda DNS-servrarna är angiven i användarens DNS-inställningar, kommer DoH i Chrome att aktiveras som standard. För dem som använder de DNS-servrar som tillhandahålls av sin lokala internetleverantör, kommer allt att förbli oförändrat, och systemets resolver kommer fortsatt att användas för DNS-förfrågningar.

En viktig skillnad från implementeringen av DoH i Firefox, där den gradvisa aktiveringen av DoH som standard börjar redan i slutet av september, är avsaknaden av koppling till en enda DoH-tjänst. Om Firefox använder CloudFlare DNS-server som standard, kommer Chrome endast att uppdatera metoden för hur DNS hanteras till en motsvarande tjänst, utan att byta DNS-leverantör. Till exempel, om användarens systeminställningar anger DNS 8.8.8.8, kommer Chrome att funktionen unix_crypt, som tar emot det lösenord som användaren anger utan att utföra escape av specialtecken. I git-repositoriet DoH-tjänsten Google ("https://dns.google.com/dns-query"). Om DNS är 1.1.1.1, kommer DoH-tjänsten Cloudflare ("https://cloudflare-dns.com/dns-query") och aktiverade osv. Om så önskas kan användaren aktivera eller avaktivera DoH via inställningen "chrome://flags/#dns-over-https". Tre driftslägen stöds: "secure", "automatic" och "off". I läget "secure" identifieras värdar endast baserat på tidigare cachade säkra värden (erhållna genom en säker anslutning) och förfrågningar via DoH, en återgång till vanlig DNS tillämpas inte. I läget "automatic" tillåts hämtning av data från osäker cache och kontakt via traditionell DNS ifall DoH och den säkra cachen inte är tillgängliga. I läget "off" kontrolleras den gemensamma cachen först, och om det inte finns några data, skickas förfrågan via systemets DNS. Läget ställs in via

inställningen kDnsOverHttpsMode, och mönstermatchningen av servrar via kDnsOverHttpsTemplates. kDnsOverHttpsMode , а шаблон сопоставления серверов через kDnsOverHttpsTemplates.

Experimentet med att aktivera DoH kommer att genomföras på alla plattformar som stöds av Chrome, förutom Linux och iOS på grund av komplexiteten i att tolka resolverinställningar och begränsad åtkomst till systeminställningar för DNS. Om det efter aktivering av DoH uppstår problem med att skicka frågor till DoH-servern (till exempel på grund av dess blockering, brott mot nätverksanslutning eller driftstopp) kommer webbläsaren automatiskt att återvända till systeminställningarna för DNS.

Syftet med experimentet är att slutgiltigt kontrollera implementeringen av DoH och att studera påverkan av DoH på prestanda. Det bör noteras att stödet för DoH faktiskt infördes har lagts till i Chrome-kodbasen redan i februari, men för att konfigurera och aktivera DoH krävs att starta Chrome med en särskild flagga och en icke uppenbar uppsättning alternativ.

Vi påminner om att DoH kan vara användbart för att förhindra läckor av information om de begärda värdnäten genom DNS-servrar från leverantörer, motverka MITM-attacker och manipulering av DNS-trafik (till exempel när man ansluter till offentlig Wi-Fi), motverka blockeringar på DNS-nivå (DoH kan inte ersätta VPN när det gäller att kringgå blockeringar som genomförs på DPI-nivå) eller för att möjliggöra drift när direktanslutning till DNS-servrar är omöjlig (till exempel vid arbete genom en proxy). I en vanlig situation skickas DNS-förfrågningar direkt till de DNS-servrar som anges i systemkonfigurationen, men vid DoH inkapslas förfrågan om att bestämma värd-IP-adressen i HTTPS-trafik och skickas till en HTTP-server där resolvern hanterar förfrågningarna via Web API. Den befintliga standarden DNSSEC använder kryptering endast för autentisering av klient och server, men skyddar inte trafiken från avlyssning och garanterar inte konfidentialiteten för förfrågningarna.

Källa: opennet.ru