Oblivious DoH – новый стандарт DNS, который улучшает конфиденциальность и безопасность DNS-запросов

Протокол DNS является неотъемлемой частью Интернета: он служит для преобразования доменных имен, например comss.ru, в IP-адреса, используемые компьютерами. Каждый раз, когда вы подключаетесь к сайту в Интернете, используется протокол DNS.

Для работы DNS требуется клиентское устройство, например компьютер, и DNS-сервер. Сервером может управлять ваш Интернет-провайдер или выбранный пользователем DNS-сервис. Смена DNS-провайдера зачастую позволяет улучшить производительность и повысить уровень конфиденциальности.

Внедрение защищенных стандартов DNS с шифрованием, таких как DNS-over-HTTPS и DNS-over-TLS, позволяет защитить DNS-трафик от отслеживания сторонними лицами. Сам по себе DNS-трафик имеет ценность, поскольку на его основе можно проанализировать, какие ресурсы посещает пользователь.

Несмотря на то, что DNS-трафик зашифровывается, DNS-провайдер по-прежнему имеет доступ к IP-адресу клиентского устройства и ко всем его целевым ресурсам. Предложенный стандарт ODoH (Oblivious DNS-over-HTTPS) призван решить данную проблему.

По сути, ODoH добавляет к запросам промежуточное звено прокси, которое находится между клиентским устройством и DNS-провайдером.

Трафик проходит через прокси, что улучшает конфиденциальность.

• Провайдер DNS общается только с прокси, а не с клиентом. Другими словами, провайдер DNS видит IP-адрес прокси, но не IP-адрес клиентского устройства.
• Прокси-сервер общается с пользовательским устройством напрямую и видит его IP-адрес, но у него нет информации о DNS-запросе, потому что он зашифрован.

Таким образом, ODoH добавляет еще один уровень шифрования к самому запросу DNS, чтобы прокси-сервер не мог его прочитать. Компания Cloudflare опубликовала подробный обзор Oblivious DoH с дополнительными техническими деталями. В исследовательской статье «Oblivious DNS-over-HTTPS (ODoH): практическое улучшение конфиденциальности DNS» приводятся подробные сведения о технологии.

Также Cloudflare провела тесты, чтобы оценить производительность при использовании ODoH. Оказалось, что по сравнению с DoH есть лишь незначительное снижение производительности.

DNS-резольвер 1.1.1.1 от Cloudflare уже поддерживает ODoH. Также у компании есть реализации с открытым исходным кодом. Технический директор Firefox, Эрик Рескорла (Eric Rescorla) заявил, что поддержка ODoH в Firefox Browser появится уже скоро.

Oblivious DNS позволяет отделить IP-адрес устройства и DNS-запросы. В результате DNS-провайдеры не смогут связывать IP-адреса с DNS-запросами, что позволит улучшить конфиденциальность в сети.

Что вы думаете о новом стандарте Oblivious DoH?