นักพัฒนา Firefox ได้ประกาศการขยายโหมด DNS ผ่าน HTTPS (DoH) ซึ่งจะเปิดใช้งานตามค่าเริ่มต้นสำหรับผู้ใช้ในแคนาดา (ก่อนหน้านี้ DoH เป็นเพียงค่าเริ่มต้นสำหรับสหรัฐอเมริกา) การเปิดใช้งาน DoH สำหรับผู้ใช้ชาวแคนาดาแบ่งออกเป็นหลายขั้นตอน: ในวันที่ 20 กรกฎาคม DoH จะถูกเปิดใช้งานสำหรับผู้ใช้ชาวแคนาดา 1% และหากมีปัญหาที่ไม่คาดคิด ความครอบคลุมจะเพิ่มขึ้นเป็น 100% ภายในสิ้นเดือนกันยายน
การเปลี่ยนผู้ใช้ Firefox ของแคนาดาเป็น DoH ดำเนินการโดยการมีส่วนร่วมของ CIRA (Canadian Internet Registration Authority) ซึ่งควบคุมการพัฒนาอินเทอร์เน็ตในแคนาดา และรับผิดชอบโดเมนระดับบนสุด “ca” CIRA ยังได้ลงทะเบียนสำหรับ TRR (Trusted Recursive Resolver) และเป็นหนึ่งในผู้ให้บริการ DNS-over-HTTPS ที่มีอยู่ใน Firefox
หลังจากเปิดใช้งาน DoH คำเตือนจะปรากฏบนระบบของผู้ใช้ อนุญาตให้ปฏิเสธการเปลี่ยนไปใช้ DoH ได้หากต้องการ และดำเนินการใช้รูปแบบดั้งเดิมในการส่งคำขอที่ไม่ได้เข้ารหัสไปยังเซิร์ฟเวอร์ DNS ของผู้ให้บริการ คุณสามารถเปลี่ยนผู้ให้บริการหรือปิดใช้งาน DoH ได้ในการตั้งค่าการเชื่อมต่อเครือข่าย นอกจากเซิร์ฟเวอร์ CIRA DoH แล้ว คุณสามารถเลือกบริการ Cloudflare และ NextDNS ได้
ผู้ให้บริการ DoH ที่นำเสนอใน Firefox ได้รับการคัดเลือกตามข้อกำหนดสำหรับตัวแก้ไข DNS ที่น่าเชื่อถือ ตามที่ผู้ดำเนินการ DNS สามารถใช้ข้อมูลที่ได้รับสำหรับการแก้ไขเพียงเพื่อให้แน่ใจว่าการทำงานของบริการเท่านั้น ต้องไม่จัดเก็บบันทึกนานเกิน 24 ชั่วโมง และไม่สามารถ ถ่ายโอนข้อมูลไปยังบุคคลที่สามและจำเป็นต้องเปิดเผยข้อมูลเกี่ยวกับวิธีการประมวลผลข้อมูล บริการยังต้องตกลงที่จะไม่เซ็นเซอร์ กรอง แทรกแซงหรือบล็อกการรับส่งข้อมูล DNS ยกเว้นในสถานการณ์ที่กฎหมายกำหนด
จำได้ว่า DoH มีประโยชน์ในการป้องกันการรั่วไหลของข้อมูลเกี่ยวกับชื่อโฮสต์ที่ร้องขอผ่านเซิร์ฟเวอร์ DNS ของผู้ให้บริการ ต่อสู้กับการโจมตี MITM และการปลอมแปลงทราฟฟิก DNS (เช่น เมื่อเชื่อมต่อกับ Wi-Fi สาธารณะ) ตอบโต้การบล็อกที่ระดับ DNS (DoH ไม่สามารถแทนที่ VPN ในพื้นที่ของการข้ามการบล็อกที่ดำเนินการในระดับ DPI) หรือสำหรับการจัดระเบียบงานในกรณีที่ไม่สามารถเข้าถึงเซิร์ฟเวอร์ DNS ได้โดยตรง (เช่น เมื่อทำงานผ่านพร็อกซี) ในสถานการณ์ปกติ คำขอ DNS จะถูกส่งโดยตรงไปยังเซิร์ฟเวอร์ DNS ที่กำหนดไว้ในการกำหนดค่าระบบ ในกรณีของ DoH คำขอเพื่อตรวจสอบที่อยู่ IP ของโฮสต์จะถูกห่อหุ้มไว้ในทราฟฟิก HTTPS และส่งไปยังเซิร์ฟเวอร์ HTTP ซึ่งรีโซลเวอร์ ประมวลผลคำขอผ่าน Web API มาตรฐาน DNSSEC ปัจจุบันใช้การเข้ารหัสเพื่อรับรองความถูกต้องของไคลเอนต์และเซิร์ฟเวอร์เท่านั้น แต่ไม่ได้ป้องกันการรับส่งข้อมูลจากการสกัดกั้นและไม่รับประกันการรักษาความลับของคำขอ
ที่มา: opennet.ru