"प्यार करता है और नापसंद": HTTPS पर DNS

हम HTTPS पर DNS की सुविधाओं के बारे में राय का विश्लेषण करते हैं, जो हाल ही में इंटरनेट प्रदाताओं और ब्राउज़र डेवलपर्स के बीच "विवाद की हड्डी" बन गई है।


/ अनप्लैश / स्टीव हलामा

असहमति का सार

हाल ही में, बड़े मीडिया और विषयगत प्लेटफॉर्म (हैबर सहित), अक्सर HTTPS (DoH) पर प्रोटोकॉल DNS के बारे में लिखते हैं। यह DNS सर्वर को क्वेरीज़ और उन्हें प्रतिक्रियाएँ एन्क्रिप्ट करता है। यह दृष्टिकोण आपको उन होस्ट नामों को छिपाने की अनुमति देता है जो उपयोगकर्ता एक्सेस करता है। प्रकाशनों से, हम यह निष्कर्ष निकाल सकते हैं कि नए प्रोटोकॉल (2018 में आईईटीएफ ने इसे मंजूरी दी ) ने आईटी समुदाय को दो शिविरों में विभाजित किया।

निम्मी का मानना ​​है कि नया प्रोटोकॉल इंटरनेट की सुरक्षा को बढ़ाएगा, और इसे अपने अनुप्रयोगों और सेवाओं में लागू करेगा। अन्य आधे का मानना ​​है कि प्रौद्योगिकी केवल सिस्टम प्रशासकों के काम को जटिल बनाती है। अगला, हम दोनों पक्षों के तर्कों का विश्लेषण करते हैं।

DoH कैसे काम करता है

इंटरनेट सेवा प्रदाता और अन्य बाजार प्रतिभागी HTTPS से अधिक DNS के पक्ष में हैं या नहीं, इसके बारे में बात करने से पहले हम इसके संचालन के सिद्धांतों पर संक्षेप में चर्चा करेंगे।

DoH के मामले में, HTTPS ट्रैफिक में एक IP एड्रेस रिक्वेस्ट एनकैप्सुलेटेड है। फिर यह HTTP सर्वर पर जाता है, जहां इसे एपीआई का उपयोग करके संसाधित किया जाता है। यहाँ RFC 8484 ( पृष्ठ 6 ) से एक उदाहरण अनुरोध है:

:method = GET :scheme = https :authority = dnsserver.example.net :path = /dns-query? dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ accept = application/dns-message 

इस प्रकार, DNS ट्रैफ़िक HTTPS ट्रैफ़िक में छिपा हुआ है। क्लाइंट और सर्वर मानक पोर्ट 443 पर संचार करते हैं। नतीजतन, डोमेन नाम प्रणाली के अनुरोध गुमनाम रहते हैं।

वे उसका पक्ष क्यों नहीं लेते

HTTPS पर DNS के विरोधियों का कहना है कि नया प्रोटोकॉल कनेक्शन सुरक्षा को कम करेगा। DNS विकास टीम के सदस्य पॉल विक्सी के अनुसार, सिस्टम प्रशासकों के लिए संभावित रूप से दुर्भावनापूर्ण साइटों को ब्लॉक करना अधिक कठिन होगा। उसी समय, सामान्य उपयोगकर्ता ब्राउज़र में सशर्त अभिभावकीय नियंत्रण को कॉन्फ़िगर करने की क्षमता खो देंगे।

पॉल की राय यूके इंटरनेट सेवा प्रदाताओं द्वारा साझा की गई है। देश के कानून में उन्हें प्रतिबंधित सामग्री के साथ संसाधनों को अवरुद्ध करने की आवश्यकता है। लेकिन ब्राउज़रों में DoH समर्थन यातायात को फ़िल्टर करने के कार्य को जटिल बनाता है। नए प्रोटोकॉल के आलोचकों में इंग्लैंड के सरकारी संचार केंद्र ( GCHQ ) और इंटरनेट वॉच फाउंडेशन ( IWF ) भी शामिल हैं, जो अवरुद्ध संसाधनों का एक रजिस्टर रखता है।

^{Habré पर हमारे ब्लॉग में:}

• यूएस रॉबो-कॉल युद्ध - कौन जीतता है और क्यों
• ब्रिटिश टेलिकॉम ग्राहकों को डिस्कनेक्ट के लिए मुआवजे का भुगतान करेंगे

विशेषज्ञों का कहना है कि HTTPS पर DNS एक साइबर सुरक्षा खतरा बन सकता है। जुलाई की शुरुआत में, नेटलाब के सुरक्षा विशेषज्ञों ने पहले वायरस की खोज की जिसने DDoS हमलों के लिए एक नया प्रोटोकॉल का उपयोग किया - गॉडलुआ । मैलवेयर पाठ रिकॉर्ड (TXT) को पुनः प्राप्त करने और प्रबंधन सर्वर के URL को पुनः प्राप्त करने के लिए DoH में बदल गया।

एनक्रिप्टेड DoH अनुरोध एंटीवायरस सॉफ़्टवेयर द्वारा मान्यता प्राप्त नहीं थे। सूचना सुरक्षा विशेषज्ञों को डर है कि गोडलुआ के बाद अन्य मैलवेयर आएंगे जो निष्क्रिय DNS निगरानी के लिए अदृश्य हैं।

लेकिन सब कुछ खिलाफ नहीं है

HTTPS पर DNS के बचाव में, APNIC इंजीनियर ज्योफ ह्यूस्टन ने अपने ब्लॉग पर बात की । उनके अनुसार, नया प्रोटोकॉल डीएनएस अपहरण के हमलों से निपटने की अनुमति देगा, जो हाल ही में आम हो गए हैं। यह तथ्य सूचना सुरक्षा कंपनी FireEye की जनवरी की रिपोर्ट की पुष्टि करता है । प्रोटोकॉल का विकास बड़ी आईटी कंपनियों द्वारा समर्थित था।

पिछले साल की शुरुआत में, Google पर DoH का परीक्षण किया जाने लगा। और एक महीने पहले, कंपनी ने अपनी DoH सेवा का सामान्य उपलब्धता संस्करण पेश किया । Google को उम्मीद है कि यह नेटवर्क पर व्यक्तिगत डेटा की सुरक्षा को बढ़ाएगा और MITM हमलों से रक्षा करेगा।

एक अन्य ब्राउज़र डेवलपर, मोज़िला, पिछली गर्मियों से HTTPS पर DNS का समर्थन कर रहा है । इसी समय, कंपनी आईटी वातावरण में नई तकनीक को सक्रिय रूप से बढ़ावा दे रही है। इसके लिए, इंटरनेट सेवा प्रदाता संघ (ISPA) ने "इंटरनेट विलेन ऑफ द ईयर" पुरस्कार के लिए भी मोज़िला को नामांकित किया । जवाब में, कंपनी के प्रतिनिधियों ने कहा कि वे पुराने इंटरनेट बुनियादी ढांचे में सुधार के लिए दूरसंचार ऑपरेटरों की अनिच्छा से निराश थे।


/ अनप्लैश / टेट्रेबिन

बड़े मीडिया और कुछ इंटरनेट सेवा प्रदाताओं ने मोज़िला के समर्थन में बात की है। विशेष रूप से, ब्रिटिश टेलीकॉम का मानना ​​है कि नया प्रोटोकॉल सामग्री के फ़िल्टरिंग को प्रभावित नहीं करेगा और ब्रिटिश उपयोगकर्ताओं की सुरक्षा बढ़ाएगा। सार्वजनिक दबाव में, ISPA को "खलनायक" नामांकन वापस लेना पड़ा ।

इसके अलावा, HTTPS पर DNS को अपनाने का समर्थन क्लाउड प्रदाताओं द्वारा किया गया था, जैसे Cloudflare । वे पहले से ही नए प्रोटोकॉल के आधार पर DNS सेवाओं की पेशकश करते हैं। GHHub पर DoH समर्थन वाले ब्राउज़र और क्लाइंट की पूरी सूची उपलब्ध है ।

किसी भी मामले में, दो शिविरों के बीच टकराव की समाप्ति के बारे में अभी तक बात करने की कोई आवश्यकता नहीं है। आईटी विशेषज्ञों का अनुमान है कि अगर एचटीटीपीएस से अधिक डीएनएस को इंटरनेट प्रौद्योगिकियों के विशाल ढेर का हिस्सा बनना चाहिए, तो एक दशक से अधिक समय लगेगा।

^{हम अपने कॉर्पोरेट ब्लॉग में और क्या लिख ​​रहे हैं:}

• इंटरनेट सेवा प्रदाता नेटवर्क कैसे बनाया जाता है
• इंटरनेट प्रदाता के नेटवर्क में मुख्य सेवाएं
• अभिसरण और एकीकरण - एक डिवाइस पर कई कार्य