Необхідність шифрування DNS: поза межами запитів на плазміну

Система імен доменів (DNS) є фундаментальним протоколом, який переводить імена користувачів в IP-адреси. Незважаючи на свою критичну роль, традиційний трафік DNS історично був відправлений в plaintext над UDP або TCP, залишаючи його вразливим до клаптування, маніпуляції, а також отруювання кешу. Атакери на тій же мережі або в рамках шляху запиту можуть перехоплювати відповіді DNS для перенаправлення користувачів на шкідливі сайти або збирати метадані перегляду. Як стосується інтернет-конфіденційності, були зашифровані, два протоколи додаткового шифрування з'явилися для захисту DNS трафіку: DNS над HTTPS (DoH)[[F: T2F: T2F: T2F: T2F: T2F: T2F: T2F:][F: T2F: T2F:][F: T2F: T2F:] [L] [L] [L][F: T2F: T2F: T2F: T2F: T2F: T2F: T2F: T2F: T2F: T

Обидва протоколи шифрування запитів та даних відповіді, що відслідковують його від спостереження та натискання. Однак вони відрізняються впровадженням, використанням портів, а також як вони інтегруються з існуючими мережними стеками. Розуміння цих відмінностей є важливим для вибору правого підходу для окремих користувачів, мережевих адміністраторів та розробників додатків.

DNS над HTTPS (DoH): Вбудувати Lookups в Web Traffic

DNS за допомогою одного порту 443, який використовується для регулярного веб-трафіку. Цей дизайн робить трафік DoH, нерозголошення від інших HTTPS трафіку до мережевих спостерігачів, якщо вони виконують глибоку перевірку або аналіз IP-адрес. DoH був стандартизований в RFC 8484 і був прийнятий основними браузерами, такими як Mozilla Firefox і Google Chrome

Як працює DoH

Коли клієнт (браузер або додаток) хоче вирішити домен, він надсилає запит HTTP POST або GET до рішення DoH (наприклад, Cloudflare's 1.1.1.1 або Google's 8.8). Перевірка DNS зашифрована в органі запиту або рядок запиту, а вирішувач реагує з DNS відповідь, зашифровано в органі HTTP відповідь. Оскільки всі транзакції відбувається над HTTPS, всі шифрування, автентифікація та підтвердження сертифікатів, що надаються TLS, є спадкоємним.

Ключові переваги DoH

  • Знайти інтеграцію: За допомогою порту 443 і HTTPS framing, трафік DoH сумішей з нормальним веб-трафіком, що робить його більш важким для мережевого фільтрування або блокування до цільових DNS запитів без виклику заставного пошкодження веб-перегляду.
  • Easy розгортання в додатках: Браузери та додатки можуть здійснюватися без необхідності зміни в налаштуваннях DNS операційної системи. Користувачі можуть просто включити налаштування або встановити розширення.
  • Лівергеї існуючої інфраструктури HTTPS: DoH може використовувати той самий HTTP / / / 2 або HTTP / 3 з'єднання і важіль зрілого балансування навантаження, кешування та мереж доставки контенту (CDNs), які забезпечують сучасну веб-сторінку.

Розгляд та критики

Незважаючи на переваги своєї конфіденційності, DoH має ігристі диски. Мережі адміністратори часто втрачають видимість в DNS трафіку, оскільки окремі додатки можуть обходити системно-рівневі налаштування DNS. Це може перешкоджати фільтруванню вмісту, батьківських контрольів, політики безпеки підприємства. Крім того, DoH представляє невелику продуктивність накладної через HTTP-рамбування і необхідність окремих TLS-підробок (хоча HTTP/2 багаторазового використання пом'якшує це). Деякі критики стверджують, що DoH централізовано використовує дозвіл DNS на кілька великих постачальників, потенційно створюючи нові точки спостереження або контролю.

DNS над TLS (DoT): Система-відправлення на виділеному порту

DNS над TLS (DoT) використовує протокол TLS, але спілкується над виділеним портом (853), а не поросятою на HTTP. Цей підхід був визначений в RFC 7858 і зазвичай налаштований на рівень операційної системи або на маршрутизаторах, що забезпечують, що всі DNS трафік з кожного додатка шифрується.

Як працює

Клієнт DoT встановлює підключення TCP до роз'яснення на порту 853 і виконує запікання TLS. Після успішного автентифікації сертифіката вирішувача, повідомлення DNS обмінюються безпосередньо над сеансом TLS, використовуючи той самий формат дроту, як традиційний DNS, але в зашифрованому тунелі. Оскільки DoT використовує унікальний порт, він може бути легко ідентифікований і керованими мережевими брандмалями і маршрутизації політик.

Ключові переваги DoT

  • Система-застосунок: Після того, як DoT налаштовується на рівні OS або маршрутизатора, всі додатки, які отримують перевагу від шифрування без необхідності індивідуального забезпечення. Це особливо цінний для мобільних пристроїв, пристроїв Інтернету речей, і мереж підприємства.
  • Проста контроль і фільтр: Адміністратори можуть дозволити або блокувати трафік DoT на основі виділеного порту і відомих ріпазонних IP-адрес, що полегшує збереження політики у порівнянні з прихованою природою DoH.
  • Efficient дротовий формат: DoT не додає заголовки HTTP або кратний наклад, що призводить до меншої затримки за кар'єру в багатьох сценаріях. Збережений протокол DNS, що знижує вимоги до обробки.

Розглядання для DoT

Відповідність DoT на виділеному порту дозволяє легше блокувати, якщо мережевий оператор або ISP вирішує обмежувати зашифровані DNS. Оскільки DoT зазвичай налаштований системний режим, підтримка у споживчих пристроях все ще зростає. Android та iOS почали підтримувати DoT на рівні OS тільки в останніх версіях, а багато маршрутизаторів не вистачає вбудованих варіантів налаштування DoT догори.

DoH проти. DoT: Побічні-попередні Порівняння

Feature DNS over HTTPS (DoH) DNS over TLS (DoT)
Standard RFC 8484 RFC 7858
Transport port 443 (HTTPS) 853 (reserved)
Traffic visibility Hidden among web traffic Distinguishable by port
Typical deployment Application level (browser, app) System level (OS, router)
Authentication HTTPS certificate validation TLS certificate validation
Performance overhead Higher due to HTTP framing Lower; binary wire format
Ease of blocking Difficult without breaking web Easier via port 853
Centralization risk Higher (browser defaults) Lower (admin-controlled)

Нейтер протокол відрізняється чудовою. Вибір залежить від контексту. Для індивідуальних користувачів, які контролюють власні пристрої, DoH забезпечує зручний спосіб обходити локальні DNS-змішування без змінних систем. Для мережевих адміністраторів, які вимагають послідовного шифрування по всій пристрої, DoT пропонує більш керований і аудитований рішення.

Реалізація шифрування DNS: практичні рекомендації

Конфігурація клієнта-Side

Більшість сучасних браузерів мають вбудовану підтримку DoH. Користувачі Firefox можуть включити DoH в мережевих налаштуваннях, в той час як Chrome поважає політику системи DNS-over-HTTPS, якщо налаштувати. На Windows 11, користувачі можуть встановити DoH або DoT для конкретних вирішувачів в мережевих адаптерах властивостей. Користувачі macOS і Linux можуть налаштувати шуб-рішення, такі як stubby (DoT) або використовувати інструменти, такі як dnscrypt-proxy, які підтримують обидва протоколи.

Вибір розчинника

Дозволі публічні вирішувачі пропонують як DoH, так і DoT включають Cloudflare (1.1.1.1), Quad9 (9.9.9.9), так і Google (8.8.8.8). Кожен має різні політики конфіденційності: Cloudflare застави не вводити особисту інформацію, чотири9 блокує шкідливі домени за замовчуванням, а Google використовує методи анонімізації. Користувачі повинні переконатися, що вірність вирішувача і відповідність місцевим законам.

Потенційні недоліки

Зашифрований DNS може конфліктувати з мережевими інструментами безпеки, такими як системи виявлення вторгнення, які спираються на огляд запитів DNS. Він також може розбити полонні портали (сторінки входу в систему public Wi-Fi), які вимагають plaintext DNS для перенаправлення користувачів. Деякі середовища підприємства блокують всі зовнішні зашифровані DNS для дотримання політики корпоративного фільтрування. У таких випадках адміністратори повинні прийняти стратегію - використовувати виділений внутрішній зашифрований рідер або зайняти DANE (DNS-Based Authentication of Named Entities) для DoT.

Майбутнє шифрування DNS

За межами DoH і DoT нові протоколи виштовхують конверт далі. DNS над QUIC (DoQ)] важе протоколи транспорту QUIC для зменшення затримки і поліпшення стійкості над ненадійними мережами. Oblivious DoH (ODoH) додає проксі-шарку для запобігання вирішенню з посиланням на запити клієнтів IP-адреси, забезпечення міцної конфіденційності метаданих. Тим часом, IETF DNS над сертифікатом HTTPS

Як і раніше, організаціям інтернет-стандартизації продовжують рефінувати ці протоколи, прийняття очікується виростити. Основні веб-переглядачі та операційні системи вже перевозяться з зашифрованими DNS, ввімкненими за замовчуванням в деяких регіонах. Мережеві оператори та постачальники інфраструктури DNS повинні підготуватися до майбутнього, де нерозшифрована DNS стає винятком, а не норм.

Висновок

DNS над HTTPS і DNS над TLS є критичною еволюцією в збереженні конфіденційності користувачів і безпеки в Інтернеті. Обидва протоколи шифрування процесу вирішення доменів, запобігання багатьох поширених атак, які використовують нешифрований DNS. Хоча DoH пропонує безшовну інтеграцію з веб-додатками і кращу крихкість, DoT забезпечує надійний, системний рішення, який легше керувати в професійних мережах. Розуміння їх відмінностей надає користувачам, розробникам і ІТ-фахівцям, щоб зробити поінформовані вибір, які вирівняти з їх вимоги безпеки і експлуатаційними обмеженнями.

Для подальшого читання зверніться до офіційних RFCs: RFC 8484 (DoH), RFC 7858 (DoT)], а {Smartflare's DoH документація]. Як інтернет продовжує розвиватися, зашифрований DNS буде залишатися кутовим стразом сейфа, більш приватного веб-сайту.