DNS через HTTPS - DNS over HTTPS

DNS через HTTPS
Протокол связи
Цельинкапсулируйте DNS в HTTPS для обеспечения конфиденциальности и безопасности
ВведеноОктябрь 2018 г.; 2 года назад (2018-10)
Слой OSIУровень приложения
RFC (ы)RFC 8484
Интернет-безопасность
протоколы
Ключевой менеджмент
Уровень приложения
система доменных имен
Интернет-уровень

DNS через HTTPS (DoH) - протокол для выполнения удаленных система доменных имен (DNS) разрешение через HTTPS протокол. Цель метода - повысить конфиденциальность и безопасность пользователей за счет предотвращения перехвата и манипулирования данными DNS со стороны атаки человек-посередине[1] используя протокол HTTPS для зашифровать данные между клиентом DoH и основанным на DoH Преобразователь DNS. К марту 2018 г. Google и Фонд Mozilla начал тестирование версий DNS через HTTPS.[2][3] В феврале 2020 г. Fire Fox переключился на DNS через HTTPS по умолчанию для пользователей в США.[4]

Технические детали

DoH - это предлагаемый стандарт, опубликованный как RFC 8484 (Октябрь 2018 г.) IETF. Оно использует HTTP / 2 и HTTPS, и поддерживает формат провода Данные ответа DNS, возвращенные в существующих ответах UDP, в полезной нагрузке HTTPS с Тип MIME приложение / dns-сообщение.[1][5] Если используется HTTP / 2, сервер также может использовать HTTP / 2 сервер push для отправки значений, которые, как ожидает клиент, могут быть полезными заранее.[6]

DoH находится в стадии разработки. Несмотря на то, что IETF опубликовал RFC 8484 в качестве предлагаемого стандарта, и компании экспериментируют с ним,[7][8] IETF еще предстоит определить, как это лучше всего реализовать. IETF оценивает ряд подходов к тому, как лучше всего развернуть DoH, и планирует создать рабочую группу, Адаптивное обнаружение DNS (ADD), чтобы проделать эту работу и выработать консенсус. Кроме того, другие отраслевые рабочие группы, такие как Инициатива по развертыванию зашифрованного DNS, были созданы, чтобы «определить и принять технологии шифрования DNS таким образом, чтобы обеспечить постоянную высокую производительность, отказоустойчивость, стабильность и безопасность критического пространства имен Интернета и служб разрешения имен, а также обеспечить непрерывную безупречную функциональность средств защиты, родительских элементы управления и другие службы, зависящие от DNS ».[9]

Сценарии развертывания

DoH используется для рекурсивного разрешения DNS Преобразователи DNS. Резольверы (Клиенты DoH) должен иметь доступ к серверу DoH, на котором размещена конечная точка запроса.[6]

DoH не имеет широкой поддержки в операционных системах, хотя Инсайдер версии Windows 10 поддерживают это. Таким образом, пользователю, желающему его использовать, обычно необходимо установить дополнительное программное обеспечение. Распространены три сценария использования:

  • Использование реализации DoH в приложении. Некоторые браузеры имеют встроенную реализацию DoH и, таким образом, могут выполнять запросы в обход функции DNS операционной системы. Недостатком является то, что приложение может не информировать пользователя о пропуске запроса DoH либо из-за неправильной конфигурации, либо из-за отсутствия поддержки DoH.
  • Установка прокси-сервера DoH на сервере имен в локальной сети: в этом сценарии клиентские системы продолжают использовать традиционный (порт 53 или 853) DNS для запроса сервера имен в локальной сети, который затем соберет необходимые ответы через DoH, достигнув DoH-серверы в Интернете. Этот метод прозрачен для конечного пользователя.
  • Установка прокси-сервера DoH в локальной системе: в этом сценарии операционные системы настроены для запроса локально работающего прокси-сервера DoH. В отличие от ранее упомянутого метода, прокси-сервер должен быть установлен в каждой системе, желающей использовать DoH, что может потребовать больших усилий в более крупных средах.

Поддержка программного обеспечения

Операционные системы

яблоко

Apple iOS 14 и macOS 11 поддерживает как DNS через HTTPS, так и DNS через TLS (DoT) и были выпущены в конце 2020 года.[10][11]

Windows

В ноябре 2019 г. Microsoft объявили о планах по внедрению поддержки зашифрованных протоколов DNS в Майкрософт Виндоус, начиная с DoH.[12] В мае 2020 года Microsoft выпустила сборку Windows 10 Insider Preview Build 19628, которая включала начальную поддержку DoH.[13] вместе с инструкциями о том, как включить его через реестр и Интерфейс командной строки.[14] В сборку Windows 10 Insider Preview Build 20185 добавлен графический пользовательский интерфейс для настройки DNS через преобразователь HTTPS.[15]

Рекурсивные DNS-преобразователи

Несвязанный

В октябре 2020 г. NLnet Labs объявил Несвязанный 1.12.0 с поддержкой DoH.[16][17] Unbound уже поддерживает DNS через TLS (DoT), начиная с версии 1.4.14, выпущенной в декабре 2011 года.[18][19] Unbound работает в Linux, FreeBSD, OpenBSD, NetBSD, MacOS и Microsoft Windows.

Веб-браузеры

Гугл Хром

DNS через HTTPS доступен в Гугл Хром 83 для Windows, macOS и Linux, настраивается на странице настроек. Если этот параметр включен и операционная система настроена с поддерживаемым DNS-сервером, Chrome обновит DNS-запросы для шифрования.[20] Также можно вручную указать предустановленный или настраиваемый сервер DoH для использования в пользовательском интерфейсе.[21]

В сентябре 2020 года Google Chrome для Android начал поэтапное развертывание DNS через HTTPS. Пользователи могут настроить собственный преобразователь или отключить DNS через HTTPS в настройках.[22]

Microsoft Edge

Microsoft Edge имеет поддержку DoH, настраиваемую через edge: // флаги URL. Если операционная система настроена с поддерживаемым DNS-сервером, Edge обновит DNS-запросы для шифрования.[23]

Mozilla Firefox

В 2018 г. Mozilla в партнерстве с Cloudflare доставить DoH для Fire Fox пользователи, которые его включают. Firefox 73 добавил еще один преобразователь в параметры, NextDNS.[24] 25 февраля 2020 года Firefox начал включать DNS через HTTPS для всех пользователей в США, по умолчанию полагаясь на преобразователь Cloudflare.[25] 3 июня 2020 года Firefox 77.0.1 отключил NextDNS по умолчанию, потому что высокая нагрузка на серверы NextDNS, вызванная пользователями Firefox, была «эффективной DDoS-атакой NextDNS» (NextDNS все еще доступен в настройках, но не включен по умолчанию).[26] В июне 2020 года Mozilla объявила о планах добавить Comcast в список доверенных преобразователей DoH.[27]

Опера

Опера поддерживает DoH, настраиваемый на странице настроек браузера.[28] По умолчанию запросы DNS отправляются на серверы Cloudflare.[23]

Публичные DNS-серверы

Реализации сервера DNS через HTTPS уже доступны бесплатно некоторыми общедоступными поставщиками DNS.[29] Видеть публичный рекурсивный сервер имен для обзора.

Критические замечания и соображения реализации

DoH может препятствовать анализу и мониторингу DNS-трафика в целях кибербезопасности; 2019 год DDoS червь Godula использовал DoH для маскировки соединений со своим командным сервером.[30][31] DoH был использован для обхода родительский контроль которые работают на стандартном (незашифрованном) уровне DNS; Circle, маршрутизатор родительского контроля, который использует DNS-запросы для проверки доменов на соответствие черным спискам, из-за этого по умолчанию блокирует DoH.[32] Однако есть поставщики DNS, которые предлагают фильтрацию и родительский контроль, а также поддержку DoH, используя серверы DoH.[33][34][35][36]

В Ассоциация интернет-провайдеров (ISPA) - торговая ассоциация, представляющая британских интернет-провайдеров, а также британский орган Internet Watch Foundation критиковали Mozilla, разработчик Fire Fox веб-браузер, за поддержку DoH, поскольку они считают, что это подорвет веб-блокировка программы в стране, в том числе стандартная фильтрация интернет-провайдером контента для взрослых и обязательная фильтрация нарушений авторских прав по решению суда. ISPA номинировало Mozilla на премию «Интернет-злодей» на 2019 год (наряду с ЕС Директива об авторском праве на едином цифровом рынке, и Дональд Трамп ), «за предложенный ими подход к внедрению DNS-over-HTTPS таким образом, чтобы обойти британские обязательства по фильтрации и родительский контроль, что подрывает стандарты безопасности в Интернете в Великобритании». Mozilla ответила на обвинения ISPA, заявив, что это не предотвратит фильтрацию, и что они были «удивлены и разочарованы тем, что отраслевая ассоциация интернет-провайдеров решила представить в ложном свете улучшение устаревшей интернет-инфраструктуры».[37][38] В ответ на критику ISPA извинилась и отозвала номинацию.[39][40] Впоследствии Mozilla заявила, что DoH не будет использоваться по умолчанию на рынке Великобритании до дальнейшего обсуждения с соответствующими заинтересованными сторонами, но заявила, что он «обеспечит реальные преимущества безопасности гражданам Великобритании».[41]

Многие проблемы, связанные с правильным развертыванием DoH, все еще решаются интернет-сообществом, включая, помимо прочего:

  • Родительский контроль и фильтры содержимого
  • Разделение DNS на предприятиях
  • CDN Локализация

Клиенты DoH не запрашивают напрямую авторитетные серверы имен. Вместо этого клиент полагается на сервер DoH, используя традиционные запросы (порт 53 или 853), чтобы наконец достичь авторитетных серверов. Таким образом, DoH не квалифицируется как сквозное шифрование по протоколу, шифрование выполняется только по шагам и только в том случае, если DNS поверх HTTPS используется последовательно.

Смотрите также

Рекомендации

  1. ^ а б Чиргвин, Ричард (14 декабря 2017 г.). «IETF защищает конфиденциальность и помогает обеспечить сетевой нейтралитет с DNS через HTTPS». Реестр. В архиве из оригинала 14 декабря 2017 г.. Получено 2018-03-21.
  2. ^ "DNS-over-HTTPS | Общедоступный DNS | Разработчики Google". Разработчики Google. В архиве из оригинала на 2018-03-20. Получено 2018-03-21.
  3. ^ Чимпану, Каталин (20.03.2018). «Mozilla тестирует» поддержку DNS через HTTPS в Firefox. КровотечениеКомпьютер. В архиве из оригинала на 2018-03-20. Получено 2018-03-21.
  4. ^ ""Давно назревший технологический сдвиг в сторону конфиденциальности в Интернете ": Firefox шифрует доменные имена. Google следует за". Что нового в издательском деле | Новости цифровой публикации. 2020-02-26. В архиве из оригинала на 26.02.2020. Получено 2020-02-26.
  5. ^ Hoffman, P; Макманус, П. «RFC 8484 - DNS-запросы через HTTPS». datatracker.ietf.org. В архиве из оригинала на 2018-12-12. Получено 2018-05-20.
  6. ^ а б Hoffman, P; Макманус, П. "draft-ietf-doh-dns-over-https-08 - DNS-запросы через HTTPS". datatracker.ietf.org. В архиве из оригинала на 2018-04-25. Получено 2018-05-20.
  7. ^ «Экспериментируя с обновлением DNS через HTTPS от того же провайдера». Блог Chromium. В архиве из оригинала на 2019-09-12. Получено 2019-09-13.
  8. ^ Декельманн, Селена. «Что дальше в том, чтобы сделать зашифрованный DNS поверх HTTPS по умолчанию». Будущие релизы. В архиве из оригинала на 2019-09-14. Получено 2019-09-13.
  9. ^ "О". Инициатива по развертыванию зашифрованного DNS. В архиве из оригинала на 2019-12-04. Получено 2019-09-13.
  10. ^ Июнь 2020, Энтони Спадафора 29. «Устройства Apple получат зашифрованный DNS в iOS 14 и macOS 11». TechRadar. В архиве из оригинала на 2020-07-01. Получено 2020-07-01.
  11. ^ Чимпану, Каталин. «Apple добавляет поддержку зашифрованного DNS (DoH и DoT)». ZDNet. В архиве из оригинала на 2020-06-27. Получено 2020-07-02.
  12. ^ Галлахер, Шон (19.11.2019). «Microsoft соглашается с будущими зашифрованными DNS-запросами в Windows». Ars Technica. В архиве из оригинала на 2019-11-19. Получено 2019-11-20.
  13. ^ «Анонс Windows 10 Insider Preview Build 19628». 13 мая 2020. В архиве из оригинала 18 мая 2020 г.. Получено 13 мая 2020.
  14. ^ «Инсайдеры Windows теперь могут тестировать DNS через HTTPS». В архиве из оригинала 15 мая 2020 г.. Получено 7 июля 2020.
  15. ^ Бринкманн, Мартин (6 августа 2020 г.). «Windows 10 build 20185 поставляется с зашифрованными настройками DNS - gHacks Tech News». Новости gHacks Tech. Получено 2020-08-06.
  16. ^ Wijngaards, Wouter. «Unbound 1.12.0 выпущен». NLnet Labs. Получено 24 октября 2020.
  17. ^ Долманс, Ральф. "DNS-over-HTTPS в несвязанном". Блог NLnet Labs. Получено 24 октября 2020.
  18. ^ Wijngaards, Wouter. «Несвязанный выпуск 1.4.14». Список рассылки несвязанных пользователей. Получено 24 октября 2020.
  19. ^ Wijngaards, Wouter. "поддержка DNS через SSL". GitHub. Получено 24 октября 2020.
  20. ^ "DNS через HTTPS (также известный как DoH)". В архиве из оригинала 27 мая 2020 г.. Получено 23 мая 2020.
  21. ^ «Chrome 83: начинается развертывание DNS через HTTPS (безопасный DNS)». В архиве из оригинала на 1 июня 2020 г.. Получено 20 июля 2020.
  22. ^ "Google внедряет поддержку Secure DNS в Chrome для Android - gHacks Tech News". www.ghacks.net. Получено 2020-09-04.
  23. ^ а б «Вот как включить DoH в каждом браузере, к черту провайдеры». В архиве из оригинала 9 июня 2020 г.. Получено 28 мая 2020.
  24. ^ Mozilla. «Firefox объявляет о новом партнере по предоставлению пользователям частных и безопасных служб DNS». Блог Mozilla. В архиве из оригинала на 2020-02-25. Получено 2020-02-25.
  25. ^ Декельманн, Селена. «Firefox продолжает продвигать DNS поверх HTTPS по умолчанию для пользователей из США». Блог Mozilla. В архиве из оригинала на 2020-05-27. Получено 2020-05-28.
  26. ^ «Firefox 77.0.1 будет выпущен сегодня, чтобы исправить одну проблему - gHacks Tech News». www.ghacks.net. В архиве из оригинала на 2020-06-09. Получено 2020-06-09.
  27. ^ Бродкин, Джон (25.06.2020). «Comcast и Mozilla заключают соглашение о конфиденциальности для шифрования запросов DNS в Firefox». Ars Technica. В архиве из оригинала 2020-06-26. Получено 2020-06-26.
  28. ^ «Список изменений для 67». Получено 23 августа 2020.
  29. ^ «Реализации DNS через HTTPS». 2018-04-27. В архиве из оригинала на 2018-04-02. Получено 2018-04-27.
  30. ^ Чимпану, Каталин. «DNS-over-HTTPS вызывает больше проблем, чем решает, - говорят эксперты». ZDNet. В архиве из оригинала на 2019-11-08. Получено 2019-11-19.
  31. ^ Чимпану, Каталин. «Первый в мире штамм вредоносного ПО, злоупотребляющего новым протоколом DoH (DNS over HTTPS)». ZDNet. В архиве с оригинала на 2019-10-27. Получено 2019-11-19.
  32. ^ «Управление зашифрованными DNS-соединениями (DNS через TLS, DNS через HTTPS) с помощью Circle». Центр поддержки Circle. Получено 2020-07-07.
  33. ^ Inc, CleanBrowsing. «Родительский контроль с поддержкой DNS через TLS». Очистить. Получено 2020-08-20.
  34. ^ Inc, CleanBrowsing. «Родительский контроль с поддержкой DNS через HTTPS (DoH)». Очистить. Получено 2020-08-20.
  35. ^ blockerDNS. "blockerDNS - Товары". blockerdns.com. Получено 2020-08-20.
  36. ^ «Защитите свою конфиденциальность с помощью DNS-over-TLS на SafeDNS». SafeDNS. Получено 2020-08-20.
  37. ^ Чимпану, Каталин. "Британская группа интернет-провайдеров называет Mozilla" Internet Villain "за поддержку" DNS-over-HTTPS ".'". ZDNet. В архиве из оригинала на 2019-07-05. Получено 2019-07-05.
  38. ^ «Интернет-группа называет Mozilla« интернет-злодеем »за поддержку функции конфиденциальности DNS». TechCrunch. Получено 2019-07-19.
  39. ^ «Британские интернет-провайдеры борются за то, чтобы сделать Интернет МЕНЬШЕ безопасным». IT ПРО. Получено 2019-09-14.
  40. ^ Патравала, Фатема (11.07.2019). «ISPA номинировала Mozilla в категории« Интернет-злодей »за поддержку DNS через HTTP, отозвала номинации и категорию после негативной реакции сообщества». Packt Hub. В архиве из оригинала на 2019-12-04. Получено 2019-09-14.
  41. ^ Херн, Алекс (24 сентября 2019). «Firefox:« Великобритания не планирует »сделать зашифрованный браузер по умолчанию». Хранитель. ISSN  0261-3077. В архиве из оригинала на 2019-09-28. Получено 2019-09-29.

внешняя ссылка