"DNS ओवर HTTPS" RFC 8484 में जारी किया गया है - लेकिन हर कोई इससे खुश नहीं है

अक्टूबर के अंत में, इंटरनेट इंजीनियरिंग काउंसिल (IETF) ने DNS ट्रैफ़िक को एन्क्रिप्ट करने के लिए DNS को HTTPS (DoH) मानक पर पेश किया, इसे RFC 8484 के रूप में प्रारूपित किया गया। इसे कई बड़ी कंपनियों द्वारा अनुमोदित किया गया था, लेकिन ऐसे भी थे जो IETF के निर्णय से संतुष्ट नहीं थे। बाद में DNS प्रणाली के रचनाकारों में से एक पॉल विक्सी (पॉल विक्सी) थे। आज हम आपको बताएंगे कि बिंदु क्या है।


/ फोटो मार्टिनले पीडी

DNS की समस्या

DNS प्रोटोकॉल उपयोगकर्ता से सर्वर से अनुरोधों और उनके प्रति प्रतिक्रियाओं को एन्क्रिप्ट नहीं करता है। डेटा को टेक्स्ट के रूप में प्रसारित किया जाता है। इस प्रकार, अनुरोध में होस्ट नाम होते हैं जो उपयोगकर्ता का दौरा कर रहा है। यह संचार चैनल पर "एग्ज़ॉस्ट" करने का अवसर देता है और असुरक्षित व्यक्तिगत डेटा को इंटरसेप्ट करता है।

HTTPS पर DNS का सार क्या है

स्थिति को मापने के लिए, मानक को HTTPS से अधिक DNS या "HTTPS से अधिक DNS" पर प्रस्तावित किया गया था। IETF ने मई 2017 में इस पर काम करना शुरू किया । यह आईसीएएनएन के पॉल हॉफमैन, एक डोमेन नाम और आईपी एड्रेस मैनेजमेंट कॉरपोरेशन और मोज़िला के पैट्रिक मैकमैनस द्वारा सह-लेखक था।

DoH की ख़ासियत यह है कि IP पते को निर्धारित करने के लिए अनुरोध DNS सर्वर को नहीं भेजे जाते हैं, लेकिन HTTPS ट्रैफ़िक में इनकैप्सुलेटेड होते हैं और HTTP सर्वर को प्रेषित होते हैं, जिस पर एक विशेष रिज़ॉल्वर उन्हें API का उपयोग करके प्रोसेस करता है। DNS ट्रैफ़िक को सामान्य HTTPS ट्रैफ़िक के रूप में मास्क किया जाता है, और क्लाइंट-सर्वर संचार मानक HTTPS पोर्ट 443 के माध्यम से होता है। अनुरोधों की सामग्री और DoH का उपयोग करने के तथ्य छिपे हुए हैं।

RFC 8484 में, इंजीनियरिंग परिषद DoH के साथ example.com को DNS प्रश्नों के उदाहरण प्रदान करता है । यहाँ GET विधि के साथ अनुरोध है:

:method = GET :scheme = https :authority = dnsserver.example.net :path = /dns-query?dns=AAABAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB accept = application/dns-message 

POST का उपयोग करने वाला एक समान अनुरोध:

 :method = POST :scheme = https :authority = dnsserver.example.net :path = /dns-query accept = application/dns-message content-type = application/dns-message content-length = 33 <33 bytes represented by the following hex encoding> 00 00 01 00 00 01 00 00 00 00 00 00 03 77 77 77 07 65 78 61 6d 70 6c 65 03 63 6f 6d 00 00 01 00 01 

आईटी उद्योग के कई प्रतिनिधि IETF मानक के समर्थन में आगे आए हैं। उदाहरण के लिए , ज्योफ ह्यूस्टन, APNIC इंटरनेट रजिस्ट्रार में लीड रिसर्चर।

प्रोटोकॉल का विकास बड़ी इंटरनेट कंपनियों द्वारा समर्थित था। वर्ष की शुरुआत से (जब प्रोटोकॉल अभी भी मसौदा चरण में था) DoH का परीक्षण Google / वर्णमाला और मोज़िला द्वारा किया गया है। अल्फाबेट डिवीजनों में से एक ने उपयोगकर्ताओं के डीएनएस-ट्रैफ़िक को एन्क्रिप्ट करने के लिए इंट्रा एप्लिकेशन जारी किया है । मोज़िला फ़ायरफ़ॉक्स ब्राउज़र ने इस साल जून से HTTPS पर DNS का समर्थन किया है।

DoH ने DNS सेवाओं - Cloudflare और Quad9 को भी लागू किया। Cloudflare ने हाल ही में Android और iOS पर नए प्रोटोकॉल के साथ काम करने के लिए एक एप्लिकेशन ( यह Habré पर एक लेख ) जारी किया था । यह अपने स्वयं के उपकरण के लिए वीपीएन के रूप में कार्य करता है (पते के लिए 127.0.0.1)। डीओएच का उपयोग करके डीएनएस प्रश्नों को क्लाउडफेयर को भेजा जाना शुरू हो जाता है, और ट्रैफ़िक "सामान्य" मार्ग के साथ चला जाता है।

GHHub पर DoH सपोर्ट वाले ब्राउज़र्स और क्लाइंट्स की एक सूची पाई जा सकती है ।

DoH मानक की आलोचना

सभी उद्योग प्रतिभागियों ने आईईटीएफ के फैसले पर सकारात्मक प्रतिक्रिया नहीं दी है। मानक के विरोधियों का मानना ​​है कि DoH गलत दिशा में एक कदम है और यह केवल कनेक्शन सुरक्षा के स्तर को कम करेगा। DNS सिस्टम के डेवलपर्स में से एक, पॉल विक्सी ने नए प्रोटोकॉल के बारे में सबसे तेजी से बात की। अपने ट्विटर अकाउंट में, उन्होंने DoH को "सूचना सुरक्षा के मामले में बकवास" कहा ।

उनकी राय में, नई तकनीक नेटवर्क के संचालन को प्रभावी ढंग से नियंत्रित नहीं करेगी। उदाहरण के लिए, सिस्टम प्रशासक संभावित रूप से दुर्भावनापूर्ण साइटों को ब्लॉक करने में सक्षम नहीं होंगे, और सामान्य उपयोगकर्ता ब्राउज़र में माता-पिता के नियंत्रण की संभावना से वंचित होंगे।


/ फोटो TheAndrasBarta पीडी

DoH के विरोधियों ने एक अलग दृष्टिकोण का उपयोग करने का सुझाव दिया है - TLS या DoT पर DNS । यह तकनीक एक IETF मानक के रूप में स्वीकार की जाती है और RFC 7858 और RFC 8310 में वर्णित है। DoH की तरह, DoT प्रोटोकॉल अनुरोधों की सामग्री को छुपाता है, लेकिन उन्हें HTTPS से अधिक नहीं भेजता है, लेकिन TLS का उपयोग करता है। DNS सर्वर से कनेक्ट करने के लिए, एक अलग पोर्ट का उपयोग किया जाता है - 853. इस वजह से, DNS क्वेरी भेजना छिपा नहीं है, जैसा कि DoH के साथ होता है।

DoT तकनीक की भी आलोचना की जाती है। विशेष रूप से, विशेषज्ञ ध्यान दें: इस तथ्य के कारण कि प्रोटोकॉल समर्पित पोर्ट के साथ काम करता है, एक तृतीय पक्ष एक सुरक्षित चैनल के उपयोग की निगरानी करने में सक्षम होगा और यदि आवश्यक हो, तो इसे ब्लॉक करें।

आगे प्रोटोकॉल का इंतजार है

विशेषज्ञों के अनुसार, यह अभी तक स्पष्ट नहीं है कि DNS प्रश्नों की सुरक्षा के कौन से तरीके अधिक सामान्य हो जाएंगे।

Cloudflare, Quad9 और Alphabet अब दोनों मानकों का समर्थन करते हैं। यदि DoH वर्णमाला उपरोक्त एप्लिकेशन में इंट्रा का उपयोग करता है, तो DoT प्रोटोकॉल का उपयोग एंड्रॉइड पाई में ट्रैफ़िक की सुरक्षा के लिए किया गया था। Google ने Google सार्वजनिक DNS में DoH और DoT समर्थन को भी शामिल किया है - और दूसरे मानक के कार्यान्वयन की घोषणा बिल्कुल नहीं की गई थी ।

रजिस्टर लिखता है कि DoT और DoH के बीच अंतिम विकल्प उपयोगकर्ताओं और प्रदाताओं पर निर्भर करेगा, और अब मानकों में से किसी का भी स्पष्ट लाभ नहीं है। विशेष रूप से, आईटी विशेषज्ञों के अनुसार, व्यवहार में DoH प्रोटोकॉल को व्यापक रूप से अपनाने के लिए कुछ दशकों की आवश्यकता होगी ।

---

पुनश्च हमारे आईएएस कॉर्पोरेट ब्लॉग से अन्य सामग्री:

• क्लाउड में सर्वरलेस कंप्यूटिंग - आधुनिकता की प्रवृत्ति या आवश्यकता?
• नेटएप दिशा-निर्देश 2018 - सम्मेलन रिपोर्ट

PPS टेलीग्राम में हमारा चैनल - वर्चुअलाइजेशन तकनीकों के बारे में:

• नेटएप ए टू जेड: वेंडर टेक्नोलॉजीज का अवलोकन
• एक अच्छा IaaS प्रदाता अपने डेटा केंद्र का निर्माण क्यों नहीं करता है
• VMware में और क्या है: वर्चुअलाइजेशन उपकरण