I Firefox kommer ett experiment att genomföras relaterat till DNS-over-HTTPS.

Utvecklarna av Mozilla rapporterade angående en ny studie i samband med förberedelserna för införandet av funktionen DNS över HTTPS (DoH, DNS over HTTPS). Under det pågående experimentet kommer statistik att samlas in om användningen av föräldrakontrollsystem och företagsresolvrar bland användare av Firefox-versioner i USA. Deltagande i experimentet kan avbrytas via sidan "about:studies" (studien listas som "Detection Logic for DNS-over-HTTPS").

För studien kommer anonymiserade uppgifter att samlas in, som endast inkluderar räkneverk, utan specifika adresser och domäner. För att identifiera föräldrakontrollsystem kommer en förfrågan att skickas för att bestämma namnet exampleadultsite.com och om detta inte överensstämmer med den faktiska IP-adressen kan det betyda att blockering av vuxeninnehåll är aktiv på DNS-nivå. Det kommer också att utvärderas IP-adresser de svar som ges för Google och YouTube, för att kontrollera deras omdirigeringar till restrict.youtube.com, forcesafesearch.google.com och restrictmoderate.youtube.com.

För att identifiera användningen av interna företagsresolvrar kommer de värdar som bestäms när webbplatser öppnas att kontrolleras för användning av ovanliga toppdomäner (TLD) och för att se om de returnerar intranätadresser. Motivet för experimentet är oro över att standardaktiveringen av DNS-over-HTTPS kan störa funktionen hos befintliga DNS-baserade föräldrakontrollssystem och skapa problem för användare av företagsnätverk, som använder DNS-servrar som ger information om interna domäner som inte är synliga i det externa nätverket.

Vi påminner om att DoH kan vara användbart för att förhindra läckor av information om efterfrågade värdnamn via nätverksleverantörens DNS-servrar, bekämpa MITM-attacker och manipulering av DNS-trafik, motarbeta DNS-blockeringar eller för att möjliggöra anslutningar när direkt kontakt med DNS-servrar är omöjlig (till exempel vid användning av en proxy). I normala fall skickas DNS-förfrågningar direkt till specifika DNS-servrar som anges i systemets konfiguration, men med DoH inkapslas IP-adressförfrågan i HTTPS-trafik och skickas till en HTTP-server där en resolver hanterar förfrågningar via ett Web API. Den existerande standarden DNSSEC använder kryptering endast för autentisering av klient och server, men skyddar inte trafiken från avlyssning och garanterar ingen konfidentialitet för förfrågningar.

För att aktivera DoH i about:config måste du ändra värdet för variabeln network.trr.mode, vilket stöds från och med Firefox 60. Värdet 0 inaktiverar helt DoH; 1 - används DNS eller DoH, beroende på vad som är snabbare; 2 - används DoH som standard och DNS som reserv; 3 - används enbart DoH; 4 - speglingsläge där både DoH och DNS används parallellt. Som standard används CloudFlare DNS-server, men den kan ändras med parameter network.trr.uri, till exempel kan du ställa in "https://dns.google.com/experimental" eller "https://9.9.9.9/dns-query".

Källa: opennet.ru