Google Chrome
Μετά τον Mozilla, Η Google ανακοίνωσε την πρόθεσή της να πραγματοποιήσει ένα πείραμα για δοκιμή Εφαρμογή προγράμματος περιήγησης Chrome με «DNS μέσω HTTPS » (DoH, DNS μέσω HTTPS). Με την κυκλοφορία του Chrome 78, προγραμματίστηκε για τις 22 Οκτωβρίου.
Ορισμένες κατηγορίες χρηστών από προεπιλογή θα μπορούν να συμμετέχουν στο πείραμα Για να ενεργοποιήσετε το DoH, μόνο οι χρήστες θα συμμετέχουν στην τρέχουσα διαμόρφωση συστήματος, η οποία αναγνωρίζεται από ορισμένους παρόχους DNS που υποστηρίζουν το DoH.
Η λίστα επιτρεπόμενων παρόχων DNS περιλαμβάνει υπηρεσίες της Google, Cloudflare, OpenDNS, Quad9, Cleanbrowsing και DNS.SB. Εάν οι ρυθμίσεις DNS του χρήστη καθορίσουν έναν από τους παραπάνω διακομιστές DNS, το DoH στο Chrome θα ενεργοποιηθεί από προεπιλογή.
Για όσους χρησιμοποιούν τους διακομιστές DNS που παρέχονται από τον τοπικό πάροχο υπηρεσιών Διαδικτύου, όλα θα παραμείνουν αμετάβλητα και η ανάλυση του συστήματος θα συνεχίσει να χρησιμοποιείται για ερωτήματα DNS.
Μια σημαντική διαφορά από την εφαρμογή DoH στον Firefox, στον οποίο η σταδιακή συμπερίληψη του προεπιλεγμένου DoH θα ξεκινήσει στα τέλη Σεπτεμβρίου, είναι η έλλειψη σύνδεσης σε μία υπηρεσία DoH.
Εάν ο Firefox χρησιμοποιεί τον διακομιστή DNS CloudFlare από προεπιλογή, το Chrome θα ενημερώσει μόνο τη μέθοδο εργασίας με το DNS σε μια αντίστοιχη υπηρεσία, χωρίς να αλλάξει τον πάροχο DNS.
Εάν είναι επιθυμητό, ο χρήστης μπορεί να ενεργοποιήσει ή να απενεργοποιήσει το DoH χρησιμοποιώντας τη ρύθμιση "chrome: // flags / # dns-over-https". Επί πλέον υποστηρίζονται τρεις τρόποι λειτουργίας "Ασφαλές", "αυτόματο" και "απενεργοποιημένο".
- Στη λειτουργία "ασφαλής", οι κεντρικοί υπολογιστές καθορίζονται μόνο με βάση τις ασφαλείς τιμές που είχαν αποθηκευτεί στο παρελθόν (ληφθεί μέσω ασφαλούς σύνδεσης) και τα αιτήματα μέσω DoH, δεν εφαρμόζεται επαναφορά στο κανονικό DNS.
- Στην "αυτόματη" λειτουργία, εάν το DoH και η ασφαλής προσωρινή μνήμη δεν είναι διαθέσιμα, είναι δυνατή η λήψη δεδομένων από μια μη ασφαλή προσωρινή μνήμη και η πρόσβαση σε αυτό μέσω παραδοσιακού DNS.
- Στη λειτουργία "εκτός λειτουργίας", ελέγχεται πρώτα η γενική προσωρινή μνήμη και εάν δεν υπάρχουν δεδομένα, το αίτημα αποστέλλεται μέσω του DNS του συστήματος. Η λειτουργία ρυθμίζεται μέσω των ρυθμίσεων kDnsOverHttpsMode και του προτύπου χαρτογράφησης διακομιστή μέσω kDnsOverHttpsTemplates.
Το πείραμα για την ενεργοποίηση του DoH θα πραγματοποιηθεί σε όλες τις υποστηριζόμενες πλατφόρμες στο Chrome, με εξαίρεση το Linux και το iOS, λόγω της μη ασήμαντης φύσης της ανάλυσης διαμόρφωσης του προγράμματος επίλυσης και της περιορισμένης πρόσβασης στη διαμόρφωση του συστήματος DNS.
Σε περίπτωση που μετά την ενεργοποίηση του DoH υπάρχουν αποτυχίες αποστολής αιτημάτων στον διακομιστή DoH (για παράδειγμα, λόγω του αποκλεισμού, της αποτυχίας ή της αποτυχίας σύνδεσης δικτύου), το πρόγραμμα περιήγησης θα επιστρέψει αυτόματα τις ρυθμίσεις συστήματος DNS.
Ο σκοπός του πειράματος είναι να ολοκληρώσει την εφαρμογή DoH και να εξετάσει τον αντίκτυπο της εφαρμογής DoH στην απόδοση.
Πρέπει να σημειωθεί ότι, στην πραγματικότητα, η υποστήριξη DoH προστέθηκε στη βάση κώδικα Chrome τον Φεβρουάριο, αλλά για να διαμορφώσετε και να ενεργοποιήσετε το DoH, το Chrome έπρεπε να ξεκινήσει με μια ειδική σημαία και ένα μη προφανές σύνολο επιλογών.
Είναι σημαντικό να το γνωρίζετε αυτό Το DoH μπορεί να είναι χρήσιμο στην εξάλειψη των διαρροών πληροφοριών ονόματος κεντρικού υπολογιστή ζητήθηκε μέσω των διακομιστών DNS των παρόχων, καταπολέμηση επιθέσεων MITM και αντικατάσταση κίνησης DNS (για παράδειγμα, κατά τη σύνδεση σε δημόσιο Wi-Fi) και το αντίθετο επίπεδο μπλοκαρίσματος DNS (DoH) δεν μπορεί να αντικαταστήσει ένα VPN στην περιοχή αποφυγής εφαρμογών μπλοκ σε επίπεδο DPI) ή να οργανώσει εργασία εάν είναι αδύνατη η απευθείας πρόσβαση σε Διακομιστές DNS (για παράδειγμα, όταν εργάζεστε μέσω διακομιστή μεσολάβησης).
Εάν σε κανονικές καταστάσεις, τα ερωτήματα DNS αποστέλλονται απευθείας στους διακομιστές DNS που ορίζονται στη διαμόρφωση του συστήματος, τότε στην περίπτωση του DoH, το αίτημα για προσδιορισμό της διεύθυνσης IP του κεντρικού υπολογιστή ενσωματώνεται στην κίνηση HTTPS και αποστέλλεται στον διακομιστή HTTP στον οποίο Το resolver επεξεργάζεται αιτήματα μέσω του διαδικτυακού API.
Το υπάρχον πρότυπο DNSSEC χρησιμοποιεί κρυπτογράφηση μόνο για έλεγχο ταυτότητας πελάτη και διακομιστή.