DNS HTTPS-ի միջոցով

**DNS HTTPS**-ի միջոցով (DoH), արձանագրություն, որը թույլ է տալիս HTTPS արձանագրության միջոցով հեռակա կերպով լուծել DNS-ի խնդիրները։ Այս մեթոդի նպատակն է բարձրացնել օգտատիրոջ գաղտնիությունն ու անվտանգությունը՝ կանխելով DNS տվյալների գաղտնալսումը և մանիպուլյացիան միջնորդ-մարդկային հարձակումների միջոցով օգտագործելով HTTPS արձանագրությունը՝ DoH հաճախորդի և DoH-ի վրա հիմնված DNS լուծիչի միջև տվյալները կոդավորելու համար: 2018 թվականի մարտին Google-ը և Mozilla Foundation-ը սկսել են DNS-ի տարբերակները HTTPS-ի միջոցով փորձարկել: 2020 թվականի փետրվարին Firefox-ը ԱՄՆ-ի օգտատերերի համար լռելյայնորեն անցել է DNS-ի՝ HTTPS-ի փոխարեն: 2020 թվականի մայիսին Chrome-ը լռելյայնորեն անցել է  DNS-ի՝ HTTPS-ի փոխարեն:

DoH-ի այլընտրանք է DNS over TLS (DoT) արձանագրությունը, որը նմանատիպ ստանդարտ է DNS հարցումների կոդավորման համար, որը տարբերվում է միայն կոդավորման և առաքման համար օգտագործվող մեթոդներով: Գաղտնիության և անվտանգության հիման վրա, թե արդյոք որևէ արձանագրություն գերազանցում է, վիճահարույց քննարկման առարկա է, մինչդեռ մյուսները պնդում են, որ դրանցից որևէ մեկի առավելությունները կախված են կոնկրետ օգտագործման դեպքից:

## Տեխնիկական մանրամասներ
DoH-ը առաջարկվող ստանդարտ է, որը հրապարակվել է IETF-ի կողմից (2018 թվականի հոկտեմբեր): Այն օգտագործում է HTTPS և աջակցում է DNS պատասխանի տվյալների լարային ձևաչափը, ինչպես վերադարձվում է առկա UDP պատասխաններում, HTTPS բեռում՝ MIME application/dns-message տեսակի միջոցով։ Հիմքում ընկած HTTP շերտը կարող է լինել HTTP-ի ցանկացած տարբերակ, չնայած HTTP/2-ը խորհուրդ տրվող նվազագույնն է։ Եթե ​​օգտագործվում է HTTP/2, սերվերը կարող է նաև օգտագործել HTTP/2 սերվերի push՝ այնպիսի արժեքներ ուղարկելու համար, որոնք, ըստ նրա, նախապես կարող են օգտակար լինել հաճախորդի համար։

Առողջության դոկտորը (DoH) դեռևս մշակման փուլում է։ Չնայած IETF-ը հրապարակել է RFC 8484-ը որպես առաջարկվող ստանդարտ, և ընկերությունները փորձարկումներ են անում դրա հետ, IETF-ը դեռևս պետք է որոշի, թե ինչպես այն լավագույնս պետք է ներդրվի: IETF-ը գնահատում է մի շարք մոտեցումներ՝ DoH-ի լավագույն տեղակայման համար և ստեղծել է աշխատանքային խումբ՝ Adaptive DNS Discovery (ADD), այս աշխատանքը կատարելու և կոնսենսուսի հասնելու համար: Բացի այդ, ստեղծվել են այլ արդյունաբերական աշխատանքային խմբեր, ինչպիսիք են Encrypted DNS Deployment Initiative-ը, «DNS կոդավորման տեխնոլոգիաները սահմանելու և ներդնելու այնպիսի եղանակով, որը կապահովի ինտերնետի կարևոր անվանատարածքի և անունների լուծման ծառայությունների շարունակական բարձր արդյունավետությունը, դիմադրողականությունը, կայունությունը և անվտանգությունը, ինչպես նաև կապահովի անվտանգության պաշտպանության, ծնողական վերահսկողության և DNS-ից կախված այլ ծառայությունների շարունակական անխափան գործունակությունը»։

Քանի որ DoH-ը չի կարող օգտագործվել որոշ հանգամանքներում, օրինակ՝ captive portals-ում, Firefox-ի նման վեբ զննարկիչները կարող են կարգավորվել՝ անապահով DNS-ի օգտագործման համար։

## HTTPS-ի միջոցով անտեղյակ DNS
HTTPS-ի միջոցով անտեղյակ DNS-ը (ODoH) փորձարարական ստանդարտ է, որը հրապարակվել է IETF-ի կողմից։ IETF RFC (հունիս 2022 թվական) անվամբ և առաջարկում է արձանագրության ընդլայնում՝ ապահովելու համար, որ ոչ մի DoH սերվեր տեղյակ չէ և՛ հաճախորդի IP հասցեի, և՛ նրանց DNS հարցումների և պատասխանների բովանդակության մասին։ Սա անջատում կամ գաղտնիության բաժանում կոչվող անվտանգության սկզբունքի կիրառում է։ Oblivious DoH-ը սկզբնապես մշակվել է որպես Oblivious DNS (ODNS) Փրինսթոնի համալսարանի և Չիկագոյի համալսարանի հետազոտողների կողմից՝ որպես չգաղտնագրված DNS-ի ընդլայնում նախքան DoH-ը ստանդարտացվեր և լայնորեն կիրառվեր։ Apple-ը և Cloudflare-ը հետագայում կիրառել են տեխնոլոգիան DoH-ի համատեքստում՝ որպես Oblivious DoH (ODoH)։

ODoH-ում և ODNS-ում բոլոր DNS հարցումներն ու պատասխանները ուղղորդվում են պրոքսիի միջոցով՝ թաքցնելով հաճախորդի հասցեն լուծիչից: Հարցումներն ու պատասխանները կոդավորվում են՝ դրանց բովանդակությունը պրոքսիից թաքցնելու համար, և միայն լուծիչը կարող է վերծանել հարցումները, իսկ հաճախորդը՝ պատասխանները: Այսպիսով, պրոքսին գիտի հաճախորդի հասցեն և լուծիչը, բայց ոչ հարցումը, և լուծիչը գիտի պրոքսին և հարցումը, բայց ոչ հաճախորդի հասցեն, ինչը թույլ չի տալիս հաճախորդի հասցեն կապել հարցման հետ, եթե պրոքսիի և լուծիչի սերվերները համաձայնության չգան։ Մեկ այլ արձանագրություն՝ Oblivious HTTP-ը, օգտագործում է նմանատիպ ճարտարապետական ​​սկզբունքներ HTTP հարցումների համար։

## Տեղակայման սցենարներ
DoH-ը օգտագործվում է DNS լուծիչների կողմից ռեկուրսիվ DNS լուծման համար: Լուծիչները (DoH հաճախորդները) պետք է մուտք ունենան DoH սերվերի, որը հյուրընկալում է հարցման վերջնակետը։

Երեք օգտագործման սցենարներ տարածված են.

* DoH իրականացման կիրառումը ծրագրի շրջանակներում. Որոշ զննարկիչներ ունեն ներկառուցված DoH իրականացում և այդպիսով կարող են հարցումներ կատարել՝ շրջանցելով օպերացիոն համակարգի DNS ֆունկցիոնալությունը: Թերությունն այն է, որ ծրագիրը կարող է չտեղեկացնել օգտատիրոջը, եթե այն բաց է թողնում DoH հարցումը՝ կա՛մ սխալ կարգավորման, կա՛մ DoH-ի աջակցության բացակայության պատճառով:
* Տեղական ցանցի անվան սերվերի վրա DoH պրոքսիի տեղադրում. Այս սցենարում հաճախորդային համակարգերը շարունակում են օգտագործել ավանդական (53 կամ 853 պորտ) DNS-ը՝ տեղային ցանցի անվան սերվերին հարցումներ ուղարկելու համար, որը այնուհետև կհավաքի անհրաժեշտ պատասխանները DoH-ի միջոցով՝ ինտերնետում DoH սերվերներին հասնելով: Այս մեթոդը թափանցիկ է վերջնական օգտատիրոջ համար:
* DoH պրոքսիի տեղադրումը տեղական համակարգում. Այս դեպքում օպերացիոն համակարգերը կարգավորված են տեղական աշխատող DoH պրոքսիին հարցում ուղարկելու համար: Նախկինում նշված մեթոդից տարբերվող, պրոքսին պետք է տեղադրվի DoH-ն օգտագործել ցանկացող յուրաքանչյուր համակարգում, ինչը կարող է մեծ ջանքեր պահանջել ավելի մեծ միջավայրերում:

## Software support
### Օպերացիոն համակարգեր

#### Apple
Apple-ի iOS 14-ը և macOS 11-ը, որոնք թողարկվել են 2020 թվականի վերջին, աջակցում են և՛ DoH, և՛ DoT արձանագրություններին։ iOS-ում արձանագրությունները կարող են օգտագործվել կարգավորման պրոֆիլների միջոցով։

#### Windows
2019 թվականի նոյեմբերին Microsoft-ը հայտարարեԼ Է Microsoft Windows-ում կոդավորված DNS արձանագրությունների աջակցություն ներդնելու ծրագրերի մասին՝ սկսելով DoH-ից։ 2020 թվականի մայիսին Microsoft-ը թողարկեԼ Է Windows 10 Insider Preview Build 19628-ը, որը ներառում էր DoH-ի սկզբնական աջակցությունը ինչպես նաև հրահանգներ, թե ինչպես այն միացնել գրանցամատյանի և հրամանի տողի միջոցով։ Windows 10 Insider Preview Build 20185-ում ավելացվել է գրաֆիկական ինտերֆեյս՝ DoH լուծիչ նշելու համար։ DoH աջակցությունը ներառված չէ Windows 10 21H2-ում։

Windows 11-ը ունի DoH աջակցություն։

#### Android
Android 11-ից սկսած տարբերակները աջակցում են DNS HTTP/3-ի միջոցով (DoH3), եթե տեղադրված է 2022 թվականի հուլիսի համակարգի թարմացումը։

### Ռեկուրսիվ DNS լուծիչներ
#### BIND

BIND 9-ը՝ Internet Systems Consortium-ի բաց կոդով DNS լուծիչը, 9.17.10 տարբերակում ավելացրել է DoH-ի աջակցությունը։

#### PowerDNS
PowerDNS-ի բաց կոդով DNS բեռնվածության հավասարակշռիչ DNSsdist։

#### Unbound
Unbound-ը, NLnet Labs-ի կողմից ստեղծված բաց կոդով DNS լուծիչ, աջակցում է DoH-ին 1.12.0 տարբերակից ի վեր, որը թողարկվել է 2020 թվականի հոկտեմբերին։ Այն առաջին անգամ ներդրել է DNS կոդավորման աջակցությունը՝ օգտագործելով այլընտրանքային DoT արձանագրությունը շատ ավելի վաղ՝ սկսած 1.4.14 տարբերակից, որը թողարկվել է2011 թվականի դեկտեմբերին։ Unbound-ը աշխատում է օպերացիոն համակարգերի մեծ մասի վրա, ներառյալ Linux, BSD, MacOS և Windows բաշխումները։

### Վեբ զննարկիչներ
#### Google Chrome
HTTPS-ի միջոցով DNS-ը հասանելի է Google Chrome 83 կամ ավելի նոր տարբերակներում՝ Windows, Linux և macOS-ի համար, որը կարելի է կարգավորել կարգավորումների էջի միջոցով: Երբ այն միացված է և օպերացիոն համակարգը կարգավորված է աջակցվող DNS սերվերով, Chrome-ը կթարմացնի DNS հարցումները՝ դրանք կոդավորելու համար։ Հնարավոր է նաև ձեռքով նշել նախապես կարգավորված կամ հատուկ DoH սերվեր՝ օգտագործողի ինտերֆեյսում օգտագործելու համար։

2020 թվականի սեպտեմբերին Android-ի համար նախատեսված Google Chrome-ը սկսել է HTTPS-ի միջոցով DNS-ի փուլային ներդրումը: Օգտատերերը կարող են կարգավորել հատուկ լուծիչ կամ անջատել HTTPS-ի միջոցով DNS-ը կարգավորումներում։

Google Chrome-ն ունի նախապես կարգավորված 5 DN HTTPS մատակարարներ, որոնք են՝ Google Public DNS, Cloudflare-ի 1.1.1.1, Quad9-ի 9.9.9.9, NextDNS և CleanBrowsing։

#### Microsoft Edge
Microsoft Edge-ը աջակցում է DNS-ը HTTPS-ի միջոցով, որը կարելի է կարգավորել կարգավորումների էջի միջոցով: Երբ այն միացված է, և օպերացիոն համակարգը կարգավորված է աջակցվող DNS սերվերով, Edge-ը կթարմացնի DNS հարցումները՝ դրանք կոդավորելու համար: Հնարավոր է նաև ձեռքով նշել նախապես կարգավորված կամ հատուկ DoH սերվեր՝ օգտագործողի ինտերֆեյսում օգտագործելու համար։

#### Mozilla Firefox

2018 թվականին Mozilla-ն համագործակցել է Cloudflare-ի հետ՝ Firefox-ի այն օգտատերերի համար DoH (հայտնի է որպես Trusted Recursive Resolver) տրամադրելու համար։ 2020 թվականի փետրվարի 25-ին Firefox-ը սկսել է միացնել DNS-ը HTTPS-ի միջոցով բոլոր ԱՄՆ-ում բնակվող օգտատերերի համար՝ լռելյայնորեն հիմնվելով Cloudflare-ի լուծիչի վրա։

#### Opera
Opera-ն աջակցում է DoH-ին, որը կարելի է կարգավորել զննարկչի կարգավորումների էջի միջոցով։ Ըստ լռելյայնի, DNS հարցումները ուղարկվում են Cloudflare սերվերներին։

### Հանրային DNS սերվերներ
HTTPS սերվերի միջոցով DNS իրականացումներն արդեն անվճար հասանելի են որոշ հանրային DNS մատակարարների համար։

## Կիրառման նկատառումներ
Ինտերնետային համայնքի կողմից դեռևս լուծվում են DoH-ի պատշաճ տեղակայման հետ կապված բազմաթիվ խնդիրներ, ներառյալ, բայց չսահմանափակվելով դրանով.

* Անվտանգության նպատակներով երրորդ կողմերին DNS տրաֆիկի վերլուծության կանխարգելում
* DNS մակարդակի ծնողական վերահսկողության և բովանդակության ֆիլտրերի խափանում
* DNS-ի բաժանում ձեռնարկությունների ցանցերում
* CDN տեղայնացում

### DNS տրաֆիկի վերլուծություն անվտանգության նպատակներով
DoH-ը կարող է խոչընդոտել DNS տրաֆիկի վերլուծությանը և մոնիթորինգին կիբերանվտանգության նպատակներով. 2019 թվականի DDoS որդը՝ Godlua-ն, օգտագործել է DoH-ը՝ իր հրամանի և կառավարման սերվերի հետ կապերը քողարկելու համար։

2021 թվականի հունվարին NSA-ն զգուշացրել է ձեռնարկություններին արտաքին DoH լուծիչներ չօգտագործել, քանի որ դրանք կանխում են DNS հարցումների ֆիլտրումը, ստուգումը և աուդիտը: Դրա փոխարեն, NSA-ն խորհուրդ է տալիս կարգավորել ձեռնարկությունների սեփականության DoH լուծիչները և արգելափակել բոլոր հայտնի արտաքին DoH լուծիչները։

### Բովանդակության ֆիլտրերի խափանում
DoH-ը օգտագործվել է ծնողական վերահսկողությունը շրջանցելու համար, որը գործում է (չգաղտնագրված) ստանդարտ DNS մակարդակում։ Այնուամենայնիվ, կան DNS մատակարարներ, որոնք առաջարկում են ֆիլտրում և ծնողական վերահսկողություն՝ DoH սերվերների շահագործման միջոցով DoH-ի աջակցությունից բացի։

Ինտերնետային ծառայություններ մատուցողների ասոցիացիան (ISPA)՝ բրիտանական ինտերնետային ծառայություններ մատուցողներին ներկայացնող առևտրային ասոցիացիան, և բրիտանական Internet Watch Foundation կազմակերպությունը քննադատել են Firefox վեբ զննարկչի մշակող Mozilla-ին առողջապահության դեպարտամենտին աջակցելու համար, քանի որ կարծում են, որ դա կխաթարի երկրում վեբ կայքերի արգելափակման ծրագրերը, այդ թվում՝ ինտերնետային ծառայություններ մատուցողների կողմից մեծահասակների համար նախատեսված բովանդակության լռելյայն ֆիլտրացումը և հեղինակային իրավունքի խախտումների պարտադիր դատական ​​որոշմամբ ֆիլտրացումը: ISPA-ն Mozilla-ին առաջադրել է 2019 թվականի «Ինտերնետային չարագործ» մրցանակի (թվային միասնական շուկայում հեղինակային իրավունքի վերաբերյալ ԵՄ հրահանգի և Դոնալդ Թրամփի հետ միասին)՝ «իրենց առաջարկած մոտեցման համար՝ DNS-ը HTTPS-ի միջոցով ներդնել այնպես, որ շրջանցվեն Մեծ Բրիտանիայի ֆիլտրացման պարտավորությունները և ծնողական վերահսկողությունը, խաթարելով Մեծ Բրիտանիայում ինտերնետային անվտանգության չափանիշները»: Mozilla-ն պատասխանել է ISPA-ի մեղադրանքներին՝ պնդելով, որ դա չի կանխելու ֆիլտրացումը, և որ նրանք «զարմացած և հիասթափված են, որ ինտերնետային ծառայություններ մատուցողների արդյունաբերական ասոցիացիան որոշել է սխալ ներկայացնել տասնամյակների պատմություն ունեցող ինտերնետային ենթակառուցվածքի բարելավումը»։ Քննադատությանը ի պատասխան՝ ISPA-ն ներողություն  է խնդրել և հետ վերցրեց թեկնածությունը։ Mozilla-ն հետագայում հայտարարել է, որ DoH-ը չի օգտագործվի բրիտանական շուկայում լռելյայնորեն մինչև համապատասխան շահագրգիռ կողմերի հետ հետագա քննարկումը, սակայն նշել է, որ այն «կառաջարկի իրական անվտանգության առավելություններ Մեծ Բրիտանիայի քաղաքացիների համար»։

### Չինաստանի կառավարության կողմից գրաքննություն
2020 թվականի հուլիսին iYouPort-ը, Մերիլենդի համալսարանը և Great Firewall Report-ը հայտնել են, որ Չինաստանի կառավարության կողմից ստեղծված Great Firewall-ը (GFW) արգելափակում է TLS կապերը՝ օգտագործելով Չինաստանում կոդավորված SNI ընդլայնումը։

## Ծանոթագրություններ

## Արտաքին հղումներ
* DNS Privacy Project: dnsprivacy.org
* A cartoon intro to DNS over HTTPS
* DNS over HTTPS  (DoH) Considerations for Operator Networks] (draft, expired on 12 March 2020)

Կատեգորիա:Գաղտնագրություն
Կատեգորիա:Համացանց