Cần mã hóa DNS: Ngoài bốn phần văn bản bình thường

Hệ thống tên miền (DNS) là một giao thức nền tảng để dịch tên miền con người có thể đọc được sang địa chỉ IP. Mặc dù chức năng quan trọng của nó, giao thông DNS truyền thống đã được gửi theo dạng căn cứ qua UDP hay TCP, để lại nó dễ bị nghe trộm, thao tác và nhiễm độc bộ nhớ tạm. Những kẻ tấn công vào mạng cùng một hay trong đường dẫn của một truy vấn có thể chặn các phản ứng DNS để chuyển hướng người dùng tới nơi có yêu cầu hoặc thu thập dữ liệu siêu dữ liệu. Vì các mối quan tâm của Internet tăng vọt, hai giao thức mã hóa đã xuất ra để bảo vệ lợi nhuận DNS: [FD: 0] trên HTTP [FS] và [Đ: TT] [Đ].S]

Cả hai giao thức mã hóa các yêu cầu và dữ liệu trả lời, che chở nó khỏi quan sát và thay đổi. tuy nhiên, chúng khác nhau trong thực hiện, sử dụng cổng và cách chúng kết hợp với chồng mạng hiện có. Hiểu được những sự khác biệt này là thiết yếu để chọn phương pháp đúng cho từng cá nhân, quản trị mạng và các nhà phát triển ứng dụng.

DNS trên HTTPS (DoH): Đang nhúng Tra cứu trong giao thông Mạng

DNS qua HTTPS bọc các yêu cầu và đáp ứng truyền thống của DNS và các yêu cầu và các đáp ứng trong các yêu cầu và các yêu cầu chuẩn HTTPS. Bằng cách sử dụng cùng cổng 433 được dùng cho giao thông mạng thường. Thiết kế này làm cho giao thông DoH không phân biệt được từ giao thông HTTPS khác tới người quan sát mạng, trừ khi họ thực hiện việc kiểm tra gói tin kỹ lưỡng hoặc phân tích địa chỉ IP của máy phục vụ IP. DoH được chuẩn hóa trong [FL: 0] [FT: 0] [FLT] và được các trình duyệt lớn khác như Mozilla và Googlehrme chấp nhận.

Làm thế nào để thực hiện được?

Khi một trình khách (luýt hoặc ứng dụng) muốn giải quyết một miền, nó gửi một yêu cầu PST HTTP hoặc đại diện cho Bộ Giải quyết tương ứng với DoH (v. d. 1. 1. 1 hay Google's 8.8.8). Câu hỏi DNS được mã hóa trong cơ thể yêu cầu hoặc chuỗi truy vấn, và bộ giải quyết DNS đáp ứng với một trả lời được mã hóa trong cơ thể HTTP. Vì toàn bộ giao dịch xảy ra trên HTTPS, tất cả mã hóa, và chứng nhận hợp lệ được cung cấp bởi TLLS.

Lợi thế chính của DoH

  • [FLT: 0] Sự kết hợp qua mạng:) bằng cách dùng cổng 443 và HTTPS, giao thông DoH được trộn lẫn với giao thông mạng thông thường, làm cho nó khó lọc mạng hơn hoặc chặn lại mục tiêu truy cập DNS mà không gây thiệt hại cho duyệt mạng.
  • Việc triển khai khả năng trong ứng dụng: trình duyệt và ứng dụng có thể thực hiện DoH mà không cần thiết thay đổi cấu hình DNS của hệ điều hành. Người dùng có thể đơn giản hiệu lực thiết lập hoặc cài đặt phần mở rộng.
  • Cơ sở hạ tầng HTTPS đã có: DoH có thể sử dụng lại HTTP/2 hoặc HTTP/3 tương tự và đòn bẩy tải cân bằng, lưu trữ và mạng nội dung (CDN) để cung cấp năng lượng cho mạng lưới truyền tải hiện đại.

Quan tâm và chỉ trích

Mặc dù lợi ích riêng tư, DoH đã gây ra tranh luận. Quản trị mạng thường mất tầm nhìn vào DNS vì ứng dụng cá nhân có thể vượt qua thiết lập DNS cấp độ DNS hệ thống. Điều này có thể cản trở nội dung lọc, điều khiển của cha mẹ, và chính sách bảo mật kinh doanh. Hơn nữa, DoH giới thiệu một hiệu suất nhỏ trên đầu vì khung HTTP và nhu cầu bắt tay riêng (mặc dù HTTP/ 2 đa cấp). Một số nhà phê bình cho rằng DoHize DNS lớn, có khả năng tạo ra điểm giám sát hay điều khiển mới.

DNS trên hệ thống an ninh hệ thống trên cổng đã hiến

DNS trên hệ thống TLS (DoT) sử dụng giao thức hệ thống kiểu hệ thống kiểu hệ thống truyền thống; nhưng giao tiếp qua cổng đã đóng (853) thay vì lướt qua HTTP. Cách tiếp cận này được định nghĩa trong [FLT: 0] RFC 7858 ) và thường được cấu hình ở cấp điều hành hay trên bộ đánh máy, bảo đảm rằng mọi giao thông DNS từ mỗi ứng dụng được mã hóa.

Cách làm việc của Dot

Trình kháchDoT thiết lập kết nối TCP tới bộ giải quyết trên cổng 853 và thực hiện một bắt tay bằng máy phục vụ hệ thống kiểu hệ thống định vị. Sau khi xác thực thành công chứng nhận bộ giải quyết, các thông điệp DNS được trao đổi trực tiếp qua phiên chạy hệ thống hệ thống của hệ thống hệ thống hệ thống hệ thống này, sử dụng cùng dạng đường hầm đã mã hóa. Vì Do hệ thống Do hệ thống này sử dụng một cổng độc đáo, nó có thể dễ dàng được nhận diện và quản lý bởi các chính sách tường lửa mạng và cấu hình.

Lợi thế chính của việc làm

  • thực thi thực thi rộng hệ thống hệ thống: [FLT: 1] Một khi trình lệnh được cấu hình ở cấp hệ thống hệ thống hệ thống hệ thống hệ thống hệ thống hệ thống, mọi ứng dụng đều hưởng lợi từ mã hóa mà không cần hỗ trợ cá nhân. Tính năng này đặc biệt có giá trị cho thiết bị di động, mạng IoT và mạng doanh nghiệp.
  • Những người quản trị có thể cho phép hoặc chặn giao thông do nhà cung cấp dựa trên cổng đã đóng và bộ giải quyết IP đã biết, làm cho việc duy trì chính sách dễ dàng hơn so với bản chất ẩn của DoH.
  • Định dạng dây dẫn bằng ngôn ngữ:[FLT: 1) DoT không thêm tiêu đề HTTP hoặc đa phương tiện trên, kết quả là tính năng/ cửa sổ thấp hơn trong nhiều trường hợp. Giao thức DNS nhị phân được bảo tồn, giảm yêu cầu xử lý.

Những lời chú ý đến DoT

Sự phụ thuộc vào một cổng dành riêng khiến việc chặn lại nếu người điều hành mạng hay IP quyết định hạn chế DNS đã mã hóa. Vì DoT thường được cấu hình toàn hệ thống, hỗ trợ trong thiết bị tiêu dùng vẫn đang tăng. ADAS và iOS bắt đầu hỗ trợ Hệ thống này ở cấp hệ điều hành chỉ trong phiên bản gần đây, và nhiều người điều khiển ryt ít tùy chọn xây dựng cho trình điều khiển hệ thống theo chiều dọc.

DoH vs. DoT: a Side-by-ide so sánh

Feature DNS over HTTPS (DoH) DNS over TLS (DoT)
Standard RFC 8484 RFC 7858
Transport port 443 (HTTPS) 853 (reserved)
Traffic visibility Hidden among web traffic Distinguishable by port
Typical deployment Application level (browser, app) System level (OS, router)
Authentication HTTPS certificate validation TLS certificate validation
Performance overhead Higher due to HTTP framing Lower; binary wire format
Ease of blocking Difficult without breaking web Easier via port 853
Centralization risk Higher (browser defaults) Lower (admin-controlled)

Không giao thức nào là cấp cao hơn. Tùy chọn này phụ thuộc vào ngữ cảnh. Đối với người dùng có ý thức cá nhân điều khiển thiết bị riêng, DoH cung cấp một cách thuận tiện để bỏ qua DNS cục bộ mà không thay đổi thiết lập hệ thống. Đối với nhà quản trị mạng, người cần mã hóa nhất quán trên mọi thiết bị, thì DOT cung cấp một giải pháp kiểm soát và kiểm toán hơn.

Giải mã DNS: cân nhắc thực tế

Cấu hình & máy khách

Phần lớn các trình duyệt hiện đại đã xây dựng DoH. Người dùng Firefox có thể hiệu lực khả năng hỗ trợ DoH trong các thiết lập mạng, trong khi Chrome tôn trọng chính sách DNS-HTTPS của hệ thống, nếu được cấu hình. Trên Windows 11, người dùng có thể đặt DoH hay DoT cho các nhà giải quyết cụ thể trong tính chất thích nghi mạng. MacOS và Linux có thể cấu hình trình giải quyết BAR như [FL: 0] [FL: 0] [FL: 1] [FL:]] hoặc dùng công cụ [FL] [FL: FL] để giải quyết các tính năng] [FL: FL].

Chọn bộ tháo gỡ

Những người giải quyết công cộng nổi tiếng cung cấp cả DoH và DoT đều có những chính sách khác nhau: Cloudfare (1.1.1), Quad9 (9.9.9. 9), và Google (8. 8. 8.8). Mỗi người có chính sách riêng biệt: Cloudfre cam kết không ghi lại thông tin có thể nhận dạng chính mình, Quad9 chặn các miền độc hại theo mặc định, và Google sử dụng kỹ thuật vô danh. Người dùng nên kiểm tra xem khả năng giải quyết và tuân thủ luật địa phương.

Có khả năng phản hồi

DNS đã mã hóa có thể xung đột với các công cụ bảo mật mạng như hệ thống phát hiện xâm nhập dựa vào các yêu cầu của DNS. Có thể phá vỡ các cổng bị giam giữ (các trang đăng nhập Wi-Fi) cần thiết lập DNS để chuyển đổi người dùng. Một số môi trường doanh nghiệp ngăn chặn tất cả các môi trường bên ngoài mã hóa DNS để áp dụng chính sách lọc qua hệ thống. Trong trường hợp như vậy, các nhà quản trị phải dùng một phương pháp riêng - hơn là sử dụng một bộ giải mã nội bộ hoặc sử dụng chức năng mật mã công tố DA (DNS-Based Entities for DoT.)

Tương lai của việc mã hóa DNS

Ngoài DoH và DoT, các giao thức mới đang đẩy xa hơn. [FLT: 0] DNS qua QUC Giao thức vận chuyển QUIC để giảm tính kiên trì và cải thiện tính phục hồi trên mạng không đáng tin cậy. DoH [ODoQ] [FLT: 1] [FT: 3) tăng cường giao thức ủy nhiệm để ngăn cản bộ giải quyết kết nối các địa chỉ IP của ứng dụng khách IP, cung cấp sự riêng tư tăng cường, IFET: [FT: T] [FT] bên trên các chứng nhận HTTP] [FS]

Khi các tổ chức chuẩn hóa mạng tiếp tục tinh luyện các giao thức này, việc nhận nuôi sẽ được phát triển. Những trình duyệt lớn và hệ điều hành đang được chuyển giao với mật mã DNS được bật trong một số vùng. Các nhà điều hành mạng và nhà cung cấp cơ sở hạ tầng DNS phải chuẩn bị cho tương lai mà không mã hóa DNS trở thành ngoại lệ thay vì quy tắc.

Kết luận

DNS trên HTTPS và DNS trên hệ thống băng giá đại diện một tiến trình quan trọng trong bảo vệ quyền riêng tư và an ninh của người dùng trên internet. Cả hai giao thức mã hóa tiến trình giải quyết miền, ngăn chặn nhiều cuộc tấn công phổ biến khai thác DNS không mã hóa. Trong khi DoH cung cấp sự kết hợp chặt chẽ với ứng dụng web và che đậy tốt hơn, DOT cung cấp một giải pháp mạnh mẽ, rộng toàn hệ thống mà dễ dàng hơn để quản lý trong mạng lưới chuyên gia. Hiểu được sự khác biệt trao quyền cho người dùng, nhà phát triển và nhà phát triển và kỹ thuật công nghệ IT để có những lựa chọn phù hợp với các quy định bảo mật và hoạt động của họ.

Để đọc thêm, hãy nhắc đến RFC chính thức: RFC 8484 (DoH) , RFC 7858 [FLT:] , [FLT:], , [Đ tài liệu [FLT] [FLT: 1] [FLT:] [FLT:]] [FLT: 1]]], [BĐĐĐĐH] khi Internet tiếp tục tiến hóa, DNS sẽ được mã hóa an toàn hơn, còn có một trang web tư nhân.