Классический форум-трекер
canvas not supported
Нас вместе: 4 232 211

Глубокий в-DoH. Разбираемся, как работает DNS over HTTPS и кому (не) выгодно его внедрение


Страницы:   Пред.  1, 2 
 
RSS
Начать новую тему   Ответить на тему    Торрент-трекер NNM-Club -> Компьютеры и комплектующие -> Компьютерные новости
Автор Сообщение
Maximus ®
Вольный стрелок
Uploader 100+
Стаж: 17 лет 5 мес.
Сообщений: 5046
Ratio: 25.177
Поблагодарили: 13176
100%
nnm-club.gif
Компании Mozilla и Google вкладывают много сил во внедрение технологии DoH (DNS поверх HTTPS), обещая пользователям повышение безопасности и приватности. В Firefox она уже включена по умолчанию, в Chrome ее будут тестировать в версии 79, и даже в Microsoft обещают внедрить ее в Windows. Но при этом технологию многие критикуют, а Mozilla за свои старания получила номинацию на звание «интернет-злодея года». Давай разберемся в нюансах этой истории.

Шаткая скрепа DNS
Для порядка и связности изложения кратко вспомним основные понятия. Система доменных имен DNS — одна из технологий, лежащих в самой основе современного интернета. С ее помощью соотносятся числовые IP-адреса и более удобные для человека доменные имена. Она построена по принципу иерархического взаимодействия DNS-серверов.

Важный момент: разрабатывалась эта система еще в 1983 году, и поэтому у нее есть некоторые проблемы с безопасностью. Ведь интернет тогда, как известно, был сетью, которая связывала американские научные и военные учреждения, и подключать к ней кого попало не планировалось.



Если вкратце, то корень проблемы в том, что базовая система DNS принимает и передает любые запросы, поступающие в нее. Как во многих других решениях, которые появились на заре интернета, защиты от злонамеренного использования здесь нет. В те времена считалось, что главное — это простота и масштабируемость.

В результате появились разные методы атак на DNS-серверы (например, отравление кеша DNS или перехват DNS). Результат таких атак — перенаправление клиентских браузеров куда-то, куда пользователи попадать не собирались.

Для борьбы с этими бедами Инженерный совет интернета разработал набор расширений DNSSEC, который добавил к DNS-запросам подпись-аутентификацию на основе криптографии с открытым ключом. Но разрабатывался этот набор расширений очень долго. Проблема стала очевидной еще в начале девяностых, направление работы над проблемой определили к 1993 году, первую версию DNSSEC подготовили к 1997 году, попытались внедрить, стали вносить изменения...

В общем, к 2005 году была создана версия, подходящая для широкомасштабного использования, и ее начали внедрять, распространяя по зонам интернета и DNS-серверам цепочку ключей доверия. Внедряли тоже долго — например, только к марту 2011 года была подписана зона .com.

Но DNSSEC решает только часть проблемы — он гарантирует аутентичность и целостность данных, но не их приватность. В борьбе за эту цель логичным средством выступает шифрование. Вопрос в том, как именно его реализовать.

Несколько групп разработчиков предложили свои варианты технологических решений. Среди них есть те, которые используют оригинальные способы шифрования, например DNSCrypt или DNSCurve, в котором применяется шифрование с использованием эллиптических кривых. Но решения, оказавшиеся в итоге более популярными, опираются на широко распространенный протокол безопасности TLS. Такими решениями являются DoT (DNS over TLS) и DoH, основной предмет этой статьи.

DoT, как и следует из его названия, использует для зашифрованной передачи DNS-запросов сам протокол TLS. Это влечет за собой смену основных портов и протоколов — вместо UDP по порту 53 используется TCP по порту 853.

DoH устроен иначе и по-другому использует TLS. В DoH TLS-шифрование применяется на уровне протокола HTTPS, с использованием HTTPS-запросов и обращением к HTTP-портам DNS-сервера.

Звучит сложновато? Ян Шауман рассказывает об этом очень точно и доходчиво:
    Поскольку HTTPS использует TLS, можно было бы позанудствовать и подоказывать, что технически DoH — это тоже DNS через TLS. Но это было бы неверно. DoT отправляет запросы базового протокола DNS через TLS-соединение на отдельном выделенном порте. DoH использует протокол HTTP на уровне протокола прикладного уровня (HTTP application layer protocol), чтобы отправлять запросы на HTTPS-порт сервера, используя и включая все элементы обычных сообщений HTTP.

Здесь резонно задаться вопросом: а в чем вообще тут может быть проблема? Чем больше безопасности, тем лучше, разве не так?

Ответ на этот вопрос лежит в нюансах выбранных решений, их сильных и слабых сторонах. А именно в том, как новая технология взаимодействует с разными участниками системы DNS, кого из них ее разработчики считают условно заслуживающими доверия, а кого — источниками угрозы. И речь сейчас даже не о хакерах-злоумышленниках, имеющих откровенно преступные цели.

Речь о том, что между пользовательским устройством и конечным сайтом находятся посредники. Администратор сети, файрвол, провайдер интернета — все они могут в своих интересах взаимодействовать с системой DNS, задавая своим резолверам имен DNS настройки того, какие запросы отслеживать, блокировать, модифицировать. Так можно встраивать рекламу, отсекать вредоносный контент, не пускать на определенные ресурсы...



DoT, работая через TLS с его системой сертификатов доверия, точно так же нуждается в DNS-резолвере, которому он сможет доверять. Присутствует гибкая возможность настройки списка доверенных резолверов, возможность централизованного изменения настроек в предварительно доверенной (например, корпоративной) среде, а также возможность переключаться обратно на базовый DNS, если с новой версией возникнут проблемы.

Поскольку для DoT используется новый, выделенный порт, возможно заметить передаваемый трафик и наблюдать за его объемами, шифрование этому никак не помешает. При желании можно даже заблокировать его вовсе.

В общем, DoT нужно грамотно настроить, но зато он содержит некоторые крайне полезные для системных администраторов и сетевых инженеров функции. Поэтому многие из профессионалов и хвалят за это DoT.

С DoH история другая. Эта технология разрабатывалась с расчетом на пользовательские приложения, а именно — браузеры. Это ключевая деталь во всей этой истории. Означает она вот что. При использовании DoH весь трафик, который не относится к браузерам, идет через базовый DNS, но браузерный трафик при этом обходит любые настройки DNS — на уровне операционной системы, локальной сети, провайдера — и, минуя промежуточные этапы, по HTTPS попадает сразу к поддерживающему DoH резолверу DNS.

И к этой схеме есть ряд серьезных вопросов.
Вот мы и добрались до рассказа о том, кто номинировал Mozilla в «интернет-злодеи года». Это британская Ассоциация интернет-провайдеров и британский же Фонд надзора за интернетом. Эти организации отвечают за блокировку нежелательного контента для британских пользователей интернета. В основном они борются с детской порнографией, но пиратство, экстремизм и всякий другой криминал их тоже интересует. А еще одно время они пытались запретить британским пользователям интернета BDSM-порнографию, но потерпели неудачу.

Так вот, эти организации полагают, что внедрение DoH существенно сузит их возможности контролировать доступ к контенту. Их опасения разделяют не только провайдеры в других странах, но и профессионалы в области кибербезопасности, которые отмечают, что с такими же проблемами столкнутся разработчики файрволов и систем мониторинга DNS. А от этого пострадает защита корпоративных сетей, и у сотрудников появятся новые возможности загрузить вирус по фишинговой ссылке. Мало того, уже есть примеры, как злоумышленники злоупотребляют возможностями DoH.

В Америке Google и Mozilla из-за DoH вступили с провайдерами в юридическую войну. Сначала провайдеры обратились к конгрессу США с письменной просьбой обратить внимание на возможные последствия внедрения DoH. Менеджеры Google тут же поспешили заверить всех, что опасности преувеличены. А вот представители Mozilla сами обратились к конгрессу с просьбой изучить практику сбора пользовательских данных провайдерами, открыто намекая, что провайдеры отстаивают свои специфические интересы.

Но с бизнес-интересами провайдеров все понятно. А каковы интересы сторонников скорейшего внедрения DoH? Почему сотрудники Google и Mozilla всячески уверяют, что это все пока только эксперимент, и что если пользователей Великобритании необходимо защищать от порнографии, то их в эксперимент не включат, и что они всего лишь хотят скорее даровать пользователям (в том числе — жителям стран с авторитарными мерами контроля интернета) больше приватности и безопасности?

Некоторые специалисты полагают, что дело в резолверах DNS с поддержкой DoH. И в Google, и в Mozilla утверждают, что их браузеры будут использовать целый список таких резолверов, но на практике — у Google есть свой собственный DNS-сервер, а Mozilla разрабатывает свое решение в тесном сотрудничестве с компанией Cloudflare. Та тоже предоставляет собственный DNS.

Если вдобавок к этому вспомнить, что Chrome сейчас самый популярный браузер, то вырисовывается не слишком приятная картинка. В распределенной и децентрализованной системе DNS в одночасье появится огромный сегмент, подконтрольный Google, и сегмент поменьше, принадлежащий Cloudflare. Ничего личного, уважаемые провайдеры, просто бизнес. Были данные ваши, а стали наши!



Mozilla в своем FAQ по внедрению DoH утверждает, что DNS-резолвер Cloudflare был выбран не потому, что Cloudflare платит за это деньги. Mozilla и Cloudflare якобы никак не намерены монетизировать данные, проходящие через их серверы, и заинтересованы только в борьбе за приватность и безопасность использования интернета.

Что ж, по меркам корпораций Cloudflare хотя бы немного похожа на искреннего союзника в этой борьбе — компания много раз заявляла о своей приверженности ценностям свободы интернета, сетевой нейтральности и свободы слова, и в ее случае такие заявления работают на ее имидж важного игрока на бурно растущем и развивающемся рынке цифровой приватности и безопасности. А вот с Google дело выглядит куда более подозрительно.

Google стремительно движется к тому, чтобы монополизировать ключевые для интернета сервисы, а некоторые уже монополизированы. И кроме экономических и политических аспектов, тут есть и чисто технические. Отсутствие централизации заложено в протоколы интернета умышленно — ведь современный интернет вырос из американской военной разработки, одной из целей которой было сохранение связи между ее участниками после атомных ударов. Если какая-то катастрофа физически уничтожит часть дата-центров, серверов или линий связи, интернет должен это пережить.

Но если несколько компаний начнут эксклюзивно предоставлять важные функции, то что будет, например, в случае банкротства одной из них? Это, конечно, все чисто философские вопросы, но обдумать их стоит. Например, сотрудники Азиатско-тихоокеанского сетевого информационного центра (APNIC) полагают, что внедрение DoH — повод для серьезных исследований степени централизации системы DNS, и намерены внимательно следить за процессом.

Выводы
Подведем итоги. И начнем с того, что можно утверждать с полной уверенностью.

Технология DoH осложнит жизнь всем тем, кто хочет или вынужден наблюдать за DNS-трафиком пользователей. В их числе — провайдеры, системные администраторы, разработчики и операторы файрволов и фильтров контента, правительственные агентства по надзору за интернетом.

Насколько сильно DoH осложнит им жизнь? Никто не может сказать точно — все зависит от темпов внедрения и проработанности технологических решений.

Нужна ли эта технология интернету? Сложный вопрос. Эксперты соглашаются, что улучшать безопасность DNS необходимо, но не соглашаются о том, как именно, — и много сокрушаются, что разработка новых решений ведется излишне поспешно, внедряется с трудом и в итоге переусложняет техническое устройство до такой степени, что в нем становится не разобраться даже профессионалам.

Нужен ли DoH лично тебе? Как и во многих других случаях, вопрос скорее в том, какая угроза тебе кажется более приоритетной. Если это провайдеры, которые делают что-то, что тебе не по душе, или фильтры контента, о которых ты не просил (например, правительственные), — то, возможно, тебе пригодится еще один инструмент. Если тебя больше беспокоят злоумышленники или тебе нужно следить, чтобы какие-то пользователи не ходили, куда не следует, — стоит прицельно изучить, как эта технология будет взаимодействовать с твоими задачами.

«А зачем вообще мне вся эта ерунда, у меня есть хороший прокси и Tor в качестве запасного варианта?» — спросишь ты. Если так, то тебе все это действительно не нужно. Но не нужно — не значит неинтересно. К счастью или сожалению, в интернете компанию нам составляют миллиарды обычных пользователей-неспециалистов, обитателей корпоративных сетей, молчаливых и незаметных устройств сетевой инфраструктуры и модных представителей «интернета вещей». И на них все описанное в статье может серьезно повлиять. А как именно и с какими последствиями — никто пока не знает.

И напоследок: специалисты Mozilla утверждают, что в некоторых случаях использование DoH существенно ускоряет обработку DNS-запросов. Если они окажутся правы, то из «интернет-злодея года» превратятся в «интернет-супергероев». И, как говорится в историях про героев и злодеев, продолжение следует.

Хакер

_________________
«Если ты ненавидишь, значит тебя победили» – Конфуций
kx77
 
Стаж: 11 лет 4 мес.
Сообщений: 1728
Ratio: 161.616
Поблагодарили: 2409
100%
TroILComandor писал(а): Перейти к сообщению
Вопрос к знатокам: магистраль тырнетовская на выход контролируется еще до того, как нитка дотянется до границы и всех забугорных серверов. Все биты-байты проходит через сито по этой же магистрали.
Какой смысл во всех этих doh и vpn, если все равно все отслеживается еще до контакта с ними? Я вот "нивкуряю".
?


Действительно, невкуряешь. Шифрование происходит между клиентом и сервером. Его взлом возможен только атакой "человек посередине". Но в этом случае броузер начнет громко орать из-за неверного сертификата.
Именно поэтому, если вдруг когда-то вам предложат установить "отечественный сертификат безопасности", то знайте. Это прослушка правительства. Безопасность правительства от вас

TroILComandor писал(а): Перейти к сообщению

Ну рубанут наши занавес на магистрали и чего? Все? Капут всем этим способам обхода, канал-то перекрыт?
Останется только спутник, так?


Ага, капут. Только сложно вот так просто взять и рубануть. Ляжет всего дофига и больше.
А если не все рубать, то дырочку всегда можно будет проковырять. Если бошка есть и знания
Кто рядом с границей живет можно спутниковую тарелку на сотовые вышки за бугром направить.
nikki68
Стаж: 12 лет 9 мес.
Сообщений: 1065
Ratio: 5.868
0.18%
Параноики как раз могут слежку нейтрализовать, установкой своего DNS в облаке и связываясь с ним по VPN.

Статья не совсем правильно объясняет положение дел.

Мелкие провайдеры делают DNS не для слежки (им это просто не надо). К своим DNS у коммерческих провайдеров чужих пользователей пускать не принято. Поэтому провайдеры всегда делали DNS для СВОИХ клиентов, в противном случае у этих клиентов не работал бы полноценно интернет.

Последние годы они начали модифицировать ответы DNS для показа своей рекламы и блокировок сайтов. И это стало проблемой. А не слежка.

И тут вообще надо сперва договориться, что такое слежка, а что нет. С моей т.з. слежка - это меры, позволяющие установить что делал пользователь за какой-либо период в прошлом: какие сайты посещал, с кем чатился, с кем разговаривал.

Меры, позволяющие установить предпочтения пользователей для показа рекламы, но не позволяющие установить действия пользователя, такой слежкой не являются. Что не означают, что они морально безупречны, впрочем.
ProtoAI
Стаж: 4 года 6 мес.
Сообщений: 154
Ratio: 1519.566
100%
nnm-club.gif
TroILComandor писал(а): Перейти к сообщению
Вопрос к знатокам: магистраль тырнетовская на выход контролируется еще до того, как нитка дотянется до границы и всех забугорных серверов.
Твой провайдер обязан поставить коробку от фсб через которых проходит весь трафик, при чём за свои деньги. Оно как раз следит кто куда ходит и выборочно пишет трафик.
Там же стоит коробочка от РКН которая сверяет запросы со списком и подменяет их на заглушку о запрете доступа, при совпадении.
И самое интересное, если провайдер достаточно большой, там же рядом стоит коробочка от гугла - сложный кеширующий прокси.

TroILComandor писал(а): Перейти к сообщению
Какой смысл во всех этих doh и vpn, если все равно все отслеживается еще до контакта с ними? Я вот "нивкуряю".
VPN создают прямую шифрованную связь с сервером и виден только зашифрованный трафик.
DoH теоретически тоже, но может и на коробку Гугла у провайдера. Зависит от адреса или браузера.

TroILComandor писал(а): Перейти к сообщению
Ну рубанут наши занавес на магистрали и чего?
Не рубанут, в этом нет смысла. И готовы будут ещё минимум лет 5. Пока что "рубильник" действительно для защиты от кибер войны.

TroILComandor писал(а): Перейти к сообщению
Останется только спутник, так?
В самом плохом сценарии большую часть спутниковых приемопередатчиков можно конфисковать по очередному придуманному закону защиты детей. Вы ведь не педобир-террорист?
А узнают о 95% спутников потому, что вам или вашим соседям было "нечего скрывать".

nikki68 писал(а): Перейти к сообщению
Параноики как раз могут слежку нейтрализовать, установкой своего DNS в облаке и связываясь с ним по VPN.
Добавив туда фильтр рекламы и функцию прокси - получается очень приятный персональный сервис.
Может уже пора перестать называть умных людей, которые заранее ищут решение проблем - параноиками?
Это примерно так же как не верно как назвать всех посетителей NNM преступниками.

nikki68 писал(а): Перейти к сообщению
С моей т.з. слежка - это меры, позволяющие установить что делал пользователь за какой-либо период в прошлом: какие сайты посещал
Любой провайдер, даже мелкий это знает. Даже с подробностями, время, дату, сколько раз. Раньше, до введения безлимитных тарифов, ещё и с точностью до байт и килобайт куда и что отправлено так же с датой и временем.

nikki68 писал(а): Перейти к сообщению
Меры, позволяющие установить предпочтения пользователей для показа рекламы, но не позволяющие установить действия пользователя, такой слежкой не являются.
Не таргетированная реклама приносит очень мало дохода. Большинство уже вас идентифицировали и показывают рекламу адресно. Часть провайдеров делится сведениями о клиентах с "партнерами", рекламными сетями. За деньги или взаимный обмен информацией о интересах и предпочтениях пользователя.

_________________
Leave me alone, I know what to do © Kimi
peddy
Стаж: 10 лет 1 мес.
Сообщений: 403
Ratio: 5.505
4.98%
canada.gif
дайте ссилку как настроить свой собственний DNS + VPN.
Nord VPN подойдет ?
levioni
Стаж: 4 года 3 мес.
Сообщений: 37
0%
Мало что меняется в итоге. IP адреса отправителя и получателя в любом случае доступны для всех узлов маршрута пакета. Так что в любом случае провайдер и все промежуточные могут отслеживать объёмы трафика. А более анализ DNS ничего и не даёт.

С учётом сказанного забавляет кипиш вокруг данной темы.
Показать сообщения:   
Начать новую тему   Ответить на тему    Торрент-трекер NNM-Club -> Компьютеры и комплектующие -> Компьютерные новости Часовой пояс: GMT + 3
Страницы:   Пред.  1, 2
Страница 2 из 2