Newsgroup: it.comp.sicurezza.varie
Titolo: fornitori servizio DNS over HTTPS?

Ciao a tutti,
 
ho letto che Firefox per gli utenti USA ha già attivato il servizio DNS over 
HTTPS (su cui ci sono stati opinioni discordanti) e per gli altri basta andare 
nelle preferenze Network,tra i due fornitori elencati ci sono Cloudflare e NextDNS.
 
NextDNS da quel che ho vito è più utile se si vuole anche filtrare il traffico, 
perché permette di scegliere vari livelli (tipo OpenDNS a sto punto).
 
Ne conoscete altri?
 
A parte questo, che ne pensate di questo tipo di servizio?
 
 
Gabriele

 A parte questo, che ne pensate di questo tipo di servizio?
 
cosa vuoi che ne pensi? male. 
se hai un dns interno / aziendale viene bypassato e da noi non funziona 
più una mazza. l'abilitassero di default come paventato sarebbe una vera 
e propria mina vagante. 

 sarebbe una vera e propria mina vagante. 
 
Su rete aziendale lo si blocca, non vedo problemi (e no, il fatto che
transiti su HTTPS *NON* è un problema, basta una CA aziendale)
 
 
 
 
 



Per chiarire, in un ambito aziendale con CA interna, si OBBLIGANO i
client a caricare come "trusted" la CA aziendale, a quel punto ci vuole
poco ad intercettare, esaminare (in chiaro) ed eventualmente bloccare
il traffico HTTPS, il che significa che si può tranquillamente bloccare
HTTPS
 
 

 transiti su HTTPS *NON* è un problema, basta una CA aziendale)
 
Giusto.
Ma prima ancora di bloccarlo pare basti inserire un'apposita zona DNS 
per inibirlo.



Inibirlo ? Ah parli del dominio; si, potresti farlo anche in quel modo,
ma dovresti bloccare i domini dei servizi DoH noti, se poi un utente si
mette ad usare un altro servizio sei fregato, invece con l'altro modo,
non c'è verso
 
 
 
 

 
https://support.mozilla.org/en-US/kb/canary-domain-use-application-dnsnet
 
 
Naturalmente questo vale solo per FireFox (ma di quello parlava l'OP).


ma una volta bloccato la risoluzione nomi funziona con quel parametro 
abilitato? o risponde picche? altrimenti il problema degli utenti 
potenzialmente bloccati rimane.

 potenzialmente bloccati rimane.
 
Dipende, qui hai due possibilità, la prima è quella di forzare una
redirection (tramite DNS in questo caso) facendo puntare le richieste
ad un server aziendale che offra DoH (secondo le policy aziendali), la
seconda è quella di bloccare e basta, a quel punto se un utente tenta
di usare DoH il browser non funzionerà; ovviamente poi, come ha fatto
giustamente presente Andrea, è anche possibile agire sulle policy in
modo da configurare correttamente i browser utilizzati in azienda, del
resto stiamo appunto parlando di un ambito aziendale, non di un setup
casalingo o per 2 computer in croce
 
 
 
 
 



Si, hai ragione, solo che personalmente preferisco l'approccio "belt &
suspenders" come dicono oltreoceano, ossia, bloccare COMUNQUE l'accesso
DoH (ed anche quello a DNS esterni); in ambito aziendale la risoluzione
dei nomi viene effettuata SOLO dai DNS aziendali (ok, ci possono essere
eccezioni, ma ora non sto a dettagliare)
 
 
 

 
 
In un'azienda dove qualcuno ne capisce presumo che i browser verranno 
configurati ad hoc e quindi quella funzione disabilitata. Nel senso che adesso 
anche se attiva di default per gli utenti USA, è pur sempre una normale opzione 
con spunta ON/OFF.
 
Detto ciò, ho trovato che anche OpenDNS lo fornisce:
https://support.opendns.com/hc/en-us/articles/360038086532-Using-DNS-over-HTTPS-DoH-with-OpenDNS
 
 
Ne conosci altri, possibilmente europei?
Per uso personale.
 
ciao
Gabriele

 eccezioni, ma ora non sto a dettagliare)
 
Ma infatti ho scritto "prima", non "invece" :)

 Per uso personale.
 
https://github.com/curl/curl/wiki/DNS-over-HTTPS
 
 
ciao :)
 

 
https://github.com/curl/curl/wiki/DNS-over-HTTPS
 
 
Se li vuoi aggiungere ad FF ti basta andare in "about:config",
selezionare il valore "network.trr.resolvers" ed aggiungere gli altri
resolvers usando la corretta sintassi JSON
 


Sì ciao, alla fine sto provando l'interfaccia di NextDNS, interessante.

 interessante.
 
:)