HTTPS DNS - आधा और गलत समाधान

इंटरनेट के अस्तित्व के दौरान, खुलापन इसकी परिभाषित विशेषताओं में से एक रहा है, और आज के अधिकांश यातायात अभी भी बिना किसी एन्क्रिप्शन के प्रेषित हैं। HTML पृष्ठों और संबंधित सामग्री के लिए अधिकांश अनुरोध सादे पाठ में किए जाते हैं, और प्रतिक्रियाएं उसी तरह से लौटाई जाती हैं, इस तथ्य के बावजूद कि HTTPS प्रोटोकॉल 1994 से मौजूद है।

हालांकि, कभी-कभी सुरक्षा और / या गोपनीयता की आवश्यकता होती है। यद्यपि इंटरनेट ट्रैफ़िक का एन्क्रिप्शन ऑनलाइन बैंकिंग और खरीदारी जैसे क्षेत्रों में व्यापक हो गया है, लेकिन कई इंटरनेट प्रोटोकॉल में गोपनीयता बनाए रखने के मुद्दे को इतनी जल्दी हल नहीं किया गया है। विशेष रूप से, जब होस्ट के लिए किसी साइट के आईपी पते को क्वेरी करते हैं, तो DNS क्वेरी लगभग हमेशा स्पष्ट पाठ में प्रेषित होती है, जो सभी कंप्यूटर और प्रदाताओं को यह निर्धारित करने की अनुमति देती है कि आप किस साइट पर जा रहे हैं, भले ही आप कनेक्शन स्थापित करने के बाद HTTPS का उपयोग करें।

DNS प्रश्नों के लिए एन्क्रिप्शन भी आवश्यक है नया नहीं है, और पहले प्रयास 2000 के दशक में वापस किए गए - DNSCrypt, DNS ओवर टीएलएस (DoT), आदि। मोज़िला, Google और अन्य बड़ी इंटरनेट कंपनियां DNS प्रश्नों को एन्क्रिप्ट करने की एक नई विधि को बढ़ावा दे रही हैं: HTTPS (DoH) पर DNS ।

DoH न केवल DNS क्वेरी को एन्क्रिप्ट करता है, बल्कि इसे "नियमित" वेब सर्वर पर भी स्थानांतरित करता है, DNS सर्वर को नहीं, इसलिए DNS ट्रैफ़िक को नियमित HTTPS से अलग नहीं किया जा सकता है। इस सिक्के के दो पहलू हैं। यह प्रक्रिया DNS क्विप्ट या DoT की तरह ही DNS क्वेरी की रक्षा करती है, और DNS स्पूफिंग को ट्रैक करने के लिए बड़ी कंपनियों की सुरक्षा सेवाओं से लोगों के लिए भी असंभव बना देती है, और ओएस से एप्लीकेशन के लिए महत्वपूर्ण नेटवर्क कार्यों के लिए जिम्मेदारी स्थानांतरित करती है। और यह भी किसी भी तरह से वेबसाइट के आईपी पते को छिपाने में मदद नहीं करता है जिसे आपने अभी अनुरोध किया है - आखिरकार, आप वैसे भी इसके पास जाते हैं।

DoT की तुलना में, DoH कई कंपनियों में आपके द्वारा देखी गई साइटों के बारे में जानकारी को केंद्रीकृत करता है: आज यह Cloudflare है, जो 24 घंटों में आपके डेटा से छुटकारा पाने का वादा करता है, और Google, जो आपके द्वारा कभी भी किए गए हर चीज के सभी विवरणों को सहेजने और मुद्रीकृत करने का इरादा रखता है।

DNS और गोपनीयता महत्वपूर्ण विषय हैं, तो चलिए विवरणों में देते हैं।

DNS सर्वर और विश्वास

एक डोमेन नाम प्रणाली की अवधारणा ARPANET पर वापस आती है, जब प्रत्येक ARPANET नोड पर केवल टेक्स्ट फ़ाइल - HOSTS.TXT नाम के तहत - ARPANET से जुड़े सिस्टम के नाम और उनके डिजिटल पतों के बीच सभी पत्राचार शामिल थे। जब आप इस फ़ाइल को स्वयं भरते हैं, तो यह सत्यापित करना आसान था कि यह सही था। नेटवर्क की वृद्धि के साथ, इन फ़ाइलों की केंद्रीय और स्थानीय प्रतियों को बनाए रखना असंभव हो गया। 1980 के दशक की शुरुआत तक, इस प्रक्रिया के लिए एक स्वचालन प्रणाली बनाने के लिए प्रयास शुरू हो चुके थे।

पहला नाम सर्वर (बर्कले इंटरनेट नाम डोमेन सर्वर या BIND) 1984 में कैलिफोर्निया विश्वविद्यालय, बर्कले में छात्रों के एक समूह द्वारा लिखा गया था, जो RFC 882 और RFC 883 पर आधारित था। 1987 तक, DNS मानक को कई बार संशोधित किया गया, जिससे RFC 1034 और RFC 1035 का आगमन हुआ। जो तब से लेकर अब तक बड़े नहीं बदले हैं।



डीएनएस संरचना का आधार इसकी पेड़ संरचना है, जहां नोड्स और पत्तियों को ज़ोन में विभाजित किया गया है। DNS रूट ज़ोन शीर्ष स्तर है जिसमें रूट सर्वर के तेरह क्लस्टर शामिल हैं जो आधिकारिक रूट DNS सर्वर बनाते हैं। कोई भी नया DNS सर्वर (प्रदाता या कंपनी द्वारा उठाया गया) इन प्राथमिक सर्वरों में से कम से कम एक से DNS रिकॉर्ड प्राप्त करता है।

प्रत्येक बाद वाला DNS ज़ोन नाम प्रणाली में एक और डोमेन जोड़ता है। आमतौर पर, प्रत्येक देश अपने स्वयं के डोमेन, और .org या .com डोमेन का रखरखाव करता है जो देशों से संबद्ध नहीं हैं। DNS के माध्यम से होस्ट नाम के लिए एक क्वेरी एक डोमेन नाम (उदाहरण के लिए .com) से शुरू होती है, फिर एक नाम (उदाहरण के लिए, Google) के साथ, संभव उप डोमेन द्वारा पीछा किया जाता है। यदि डेटा अभी तक कैश नहीं किया गया है, तो आपको अनुरोध को हल करने के लिए DNS ज़ोन के माध्यम से कई बदलाव करने की आवश्यकता हो सकती है।

DNSSEC: DNS सिस्टम पर विश्वास जोड़ना

DNS प्रश्नों के एन्क्रिप्शन पर आगे बढ़ने से पहले, आपको यह सुनिश्चित करने की आवश्यकता है कि हम DNS सर्वर पर भरोसा कर सकते हैं। यह आवश्यकता 1990 के दशक में स्पष्ट हो गई, और DNS सुरक्षा मानक (DNSSEC), RFC 2353, और संशोधित RFC 4033 (DNSSEC-bis) के पहले परिचालन विस्तार के लिए नेतृत्व किया।


2006 इंटरनेट मैप

DNSSEC एक सार्वजनिक कुंजी के साथ DNS क्वेरी रिकॉर्ड पर हस्ताक्षर करके काम करता है। DNS रिकॉर्ड की प्रामाणिकता की पुष्टि DNS रूट ज़ोन की सार्वजनिक कुंजी से की जा सकती है, जो इस परिदृश्य में एक विश्वसनीय तृतीय पक्ष है। डोमेन के मालिक ज़ोन ऑपरेटरों द्वारा हस्ताक्षरित और DNS में जोड़े गए, अपनी कुंजी उत्पन्न करते हैं।

हालांकि DNSSEC आपको अपेक्षाकृत आश्वस्त होने की अनुमति देता है कि DNS सर्वर से उत्तर वास्तविक हैं, इस प्रोटोकॉल को ओएस में शामिल किया जाना चाहिए। दुर्भाग्य से, कुछ ओएस एक DNS सेवा को लागू करते हैं जो "DNSSEC के बारे में अधिक से अधिक जानते हैं" - यह वास्तव में DNS प्रतिक्रियाओं की पुष्टि नहीं करता है। इसलिए, आज आप यह सुनिश्चित नहीं कर सकते हैं कि आपको DNS से ​​प्राप्त उत्तर वास्तविक हैं।

DoH के साथ समस्या

मान लीजिए आप DNSSEC का उपयोग कर रहे हैं। आप अपने डेटा स्थानांतरण में गोपनीयता जोड़ने के लिए संदेशों को एन्क्रिप्ट करने के लिए तैयार हैं। DNS प्रश्नों को चुभती आँखों से गुप्त रखने के कई कारण हो सकते हैं। सबसे निर्दोष लोगों में निगम और प्रदाताओं के फिल्टर को दरकिनार कर रहे हैं, इंटरनेट की आदतों पर नज़र रखने पर प्रतिबंध लगाते हैं, और बहुत कुछ। अधिक गंभीर लोगों में इंटरनेट पर राजनीतिक विचारों को व्यक्त करने के लिए सरकार द्वारा उत्पीड़न से बचने का प्रयास किया जाता है। स्वाभाविक रूप से, DNS प्रश्नों का एन्क्रिप्शन लोगों को इन प्रश्नों की जासूसी करने की अनुमति नहीं देता है, लेकिन परिणामस्वरूप, DNS की सुरक्षा के साथ बड़ी समस्याएं हैं और निश्चित रूप से, अन्य सभी संचार प्रोटोकॉल की अनदेखी की जाती है।

यहां के मुख्य प्रतियोगी HTT का उपयोग करते हुए TLS और DoH का उपयोग कर रहे हैं। दोनों के बीच सबसे स्पष्ट अंतर पोर्ट है: DoT एक समर्पित TCP पोर्ट 853 पर चलता है, और DoH अन्य HTTPS ट्रैफ़िक के साथ पोर्ट 443 पर मेल खाता है। यह DNS ट्रैफ़िक को अन्य ट्रैफ़िक से अप्रभेद्य बनाने का विवादास्पद लाभ देता है, जो नेटवर्क ऑपरेटरों (निजी और कॉर्पोरेट) के लिए असंभव बनाता है ) अपने खुद के नेटवर्क को सुरक्षित रखें, क्योंकि पिछले साल ट्विटर पर घोषित DNS वास्तुकारों में से एक पॉल विक्सी।

मुख्य अंतरों में से दूसरा यह है कि अगर DoT केवल TLS पर DNS प्रश्न भेजता है, तो DoH अनिवार्य रूप से DNS-over-HTTP-HTTP-TLS है, इसके लिए अपने स्वयं के मीडिया प्रकार के एप्लिकेशन / dns-message की आवश्यकता होती है, और चीजों को अधिक जटिल बनाता है। DoH को मौजूदा प्रोटोकॉल के साथ मिलाने से प्रत्येक DNS क्वेरी और प्रतिक्रिया HTTPS स्टैक के माध्यम से जाती है। यह एम्बेडेड अनुप्रयोगों के लिए एक बुरा सपना है और लगभग सभी मौजूदा प्रकार के उपकरणों के साथ भी असंगत है।

DoT का एक और फायदा है - यह प्रोटोकॉल पहले ही लागू हो चुका है, और DoH की तुलना में बहुत अधिक समय से मौजूद है, इसका उपयोग Cloudflare, Google, साथ ही स्थानीय इंटरनेट प्रदाताओं जैसी कंपनियों द्वारा किया जाता है; BIND की तरह मानक सर्वर सॉफ्टवेयर DoT का सही उपयोग करता है। एंड्रॉइड पाई ओएस (संस्करण 9) पर, टीएलएस पर डीएनएस डिफ़ॉल्ट रूप से उपयोग किया जाएगा यदि चयनित डीएनएस सर्वर डीओटी का समर्थन करता है।

DoT पर स्विच करें यदि DoT पहले से ही चालू है? अगर गैर-मानक एप्लिकेशन जैसे फ़ायरफ़ॉक्स DoT- आधारित सिस्टम DNS को बायपास करते हैं और DoH के माध्यम से अपने स्वयं के डोमेन नाम पुनर्प्राप्ति प्रणाली का उपयोग करते हैं, तो सुरक्षा के दृष्टिकोण से यह स्थिति बहुत मुश्किल हो जाएगी। DNS को व्यक्तिगत अनुप्रयोगों में स्थानांतरित करना, जो अब हो रहा है, एक कदम पीछे की तरह लगता है। क्या आप जानते हैं कि प्रत्येक एप्लिकेशन किस DNS विधि का उपयोग करता है? क्या आप जानते हैं कि यह पोर्ट 443 पर टीसीपी ट्रैफिक के साथ इस प्रक्रिया को मिलाता है?

एन्क्रिप्शन स्नूपिंग में हस्तक्षेप नहीं करता है

दो बड़ी कंपनियां, Cloudflare और Mozilla, HTTPS पर DNS के लिए खड़ी हैं, और बाद में भी एक अच्छी छोटी कॉमिक स्ट्रिप जारी की, जहाँ यह DoH योजना को समझाने की कोशिश करती है। अप्रत्याशित रूप से, वे DNSSEC का उल्लेख बिल्कुल भी नहीं करते हैं (भले ही इसे RFC 8484 में "महत्वपूर्ण" कहा जाता है), और इसके बजाय ट्रस्टेड रिसर्सिव रिज़ॉल्वर (TRR) नामक कुछ चीज़ों की पेशकश करते हैं, जो अनिवार्य रूप से उस सलाह का प्रतिनिधित्व करता है, जिसका उपयोग विश्वसनीय है। DNS सर्वर ”जिसके द्वारा मोज़िला का अर्थ है क्लाउडफ़ेयर।

DoH के अलावा, वे QNAME न्यूनतमकरण मानक ( RFC 7816 ) का उल्लेख करते हैं, जो DNS सर्वर द्वारा भेजी गई गैर-महत्वपूर्ण जानकारी की मात्रा को कम करना चाहिए। इसी समय, यह मानक किसी भी तरह से DoH पर निर्भर नहीं करता है और बिना DNS एन्क्रिप्शन के काम करेगा। DNSSEC के साथ, DNS मानक के विकास के माध्यम से सुरक्षा और गोपनीयता को बढ़ाया जाता है।

सबसे दिलचस्प "टीआरआर + DoH ठीक नहीं करता है" अनुभाग में निहित है? जैसा कि कई विशेषज्ञों ने कहा है, DNS एन्क्रिप्शन स्नूपिंग को रोकता नहीं है। आईपी ​​पते के बाद के किसी भी अनुरोध को बहुत गुप्त तरीके से प्राप्त किया गया था जो अभी भी स्पष्ट रूप से दिखाई देगा। सभी समान, उन्हें पता चल जाएगा कि आप Facebook.com, या असंतुष्टों की साइट पर गए हैं। DNS या इंटरनेट ट्रैफ़िक का कोई एन्क्रिप्शन इंटरनेट जैसे नेटवर्क के संचालन के लिए महत्वपूर्ण जानकारी को छिपाएगा।

क्या भविष्य का इंटरनेट विफलता का एकल बिंदु बन जाएगा?

मोज़िला आईपी स्नूपिंग के मुद्दे से निपटने का प्रस्ताव केवल यह कहकर देता है कि यह क्लाउड के उपयोग के माध्यम से कोई समस्या नहीं है। जितनी अधिक वेबसाइट और सामग्री वितरण नेटवर्क (CDN) कम संख्या में सेवाएं (Cloudflare, Azure, AWS, इत्यादि) पर लटकाते हैं, उतना ही कम यह एकल IP पता का अर्थ है - आपको बस यह विश्वास करने की आवश्यकता है कि चुने हुए एक आपकी क्लाउड सेवा आपका डेटा चोरी नहीं करेगी और एक दिन के लिए नहीं गिरेगी।

इस साल, 24 जून को सेवाओं में भारी गिरावट आई, जब वेरिज़ोन प्रदाता द्वारा किए गए एक कॉन्फ़िगरेशन त्रुटि ने क्लाउडफ्लेयर, अमेज़ॅन, लिनोड और कई अन्य लोगों को दिन के अधिकांश समय के लिए अनुपलब्ध कर दिया। इस वर्ष के 2 जुलाई को , क्लाउडफ्लेयर लगभग आधे घंटे तक गिर गया , और इसके साथ कई वेबसाइटें जो इसकी सेवाओं पर भरोसा करती हैं।

संयोगवश, Microsoft की Office365 क्लाउड सेवा भी उस दिन कई घंटों तक चलती थी, यही वजह है कि कई उपयोगकर्ता इसकी सेवाओं का उपयोग करने में असमर्थ थे। श्रम दिवस से पहले सप्ताहांत में [अमेरिकी राष्ट्रीय अवकाश सितंबर के पहले सोमवार को मनाया जाता है / लगभग। ट्रांस]। AWS यूएस-ईस्ट -1 डेटा सेंटर में बिजली की विफलता के कारण ग्राहक डेटा का एक टेराबाइट जमा हो गया, जो तांबे के बेसिन के साथ कवर किया गया था । जाहिर है, इंटरनेट को केंद्रीकृत करने के लाभों के बारे में अभी भी कुछ कमियां हैं।

पुराने गाने एक नए तरीके से

आश्चर्यजनक रूप से, गोपनीयता और ट्रैकिंग की इस चर्चा के दौरान आभासी निजी नेटवर्क (वीपीएन) का कोई उल्लेख नहीं है। वे डेटा एन्क्रिप्शन और डीएनएस प्रश्नों के साथ, आईपी पते को छिपाने और अधिक, बस उस बिंदु को स्थानांतरित करके हल करते हैं जिस पर आपका पीसी या इंटरनेट से जुड़ा अन्य डिवाइस इंटरनेट से कनेक्ट होता है। अधिनायकवादी शासन के भीतर के लोगों ने इंटरनेट सेंसरशिप को दरकिनार करने के लिए दशकों तक वीपीएन का उपयोग किया है; वीपीएन, जिसमें टो जैसी विशेष विशेषताएं शामिल हैं, इंटरनेट स्वतंत्रता का एक महत्वपूर्ण तत्व हैं।


टॉर कैसे काम करता है

अगर आप DoH जैसी स्कीम में Cloudflare जैसी बड़ी कमर्शियल कंपनी पर भरोसा करते हैं, तो एक विश्वसनीय VPN प्रोवाइडर ढूंढना जो आपके डेटा को स्टोर या सेल नहीं करता है, आसान होगा। और ओपेरा ब्राउज़र में आम तौर पर मुफ्त, अंतर्निहित प्रॉक्सी समर्थन होता है, जो कई वीपीएन लाभ प्रदान करता है ।

अंत में, हम कह सकते हैं कि DoH इसके संक्षिप्त रूप की पुष्टि करता है, खराब तरीके से कर रहा है कि DoT पहले से ही अच्छा कर रहा है ["Doh!" - एक विस्मयादिबोधक एक परिपूर्ण कार्रवाई की मूर्खता को दर्शाता है, विशेष रूप से अपना / लगभग। ट्रांस।]। हमें डीएनटीएसईसी के सर्वव्यापी कार्यान्वयन पर अधिक ध्यान केंद्रित करने की आवश्यकता है, साथ में डीओटी और क्यूएनएमईएम को न्यूनतम करना। और अगर आप वास्तविक गोपनीयता की परवाह करते हैं, तो आपको वीपीएन की ओर रुख करना होगा।