Битката за данните на потребителите или защо е необходимо да бъдат криптирани DNS заявките

Специалистите по обезпечаване конфиденциалността и безопасността в Глобалната мрежа се оказаха в центъра на публичната борба за бъдещето на криптирането на интернет трафика. През месец септември тази година кабелните оператори, провайдърите и различните представители на американския телекомуникационен сектор изпратиха в Конгреса писмо срещу плановете на Google за криптиране на системата за имена на домейните (DNS) в своя браузър. А този месец Mozilla също изпрати в Конгреса писмо, с което призовава законодателите да не разглеждат този протест, понеже в него са допуснати „фактически неточности“.

Става дума за това, как точно да бъде криптиран DNS трафика – мрежовите заявки, които улесняват потребителя вместо да въвежда IP-адрес (комбинация от цифри) за да достигне до даден ресурс в Глобалната мрежа, просто да въведе неговото име (домейн). Когато потребителят въвежда името на сайта в своя браузър, то уеб браузърът извършва запитване към най-близкия указан в настройките DNS сървър какъв е IP адресът, свързан с това име.

По подразбиране всичките тези запитвания към, и отговори от DNS сървъра, са във вид на обикновен текст, а това означава, че някой може да ги прихване и да препрати потребителя към друго място в Глобалната мрежа. Този процес не е много труден. Също така, обикновените текстови DNS запитвания и отговори дават възможност на администраторите да виждат кои сайтове посещава всеки потребител. И това е проблемът: този трафик може да бъде криптиран, но по този начин рекламодателите ще изгубят ценна информация.

„Криптирането на DNS гарантира, че браузърът ще се свърже именно със сайта, който ви трябва, а не където ви препращат вредоносните програми“ – каза Тим Ейприл, главен архитект на мрежовата структура на компанията Akamai.

Никой не спори, че DNS не трябва да бъде криптиран. Не бива да се допуска трети страни да прихващат този трафик и да препращат потребителите към сайтове с вредоносни програми или към фалшиви акаунти за логване, които имитират популярни интернет портали, но при фалшивото логаване вземат паролата на потребителя и след това го препращат към оригиналния сайт. Разногласията са по повод това, какво криптиране да бъде използвано.

Има два варианта: така наречените DNS чрез TLS (DNS over TLS, DoT) и DNS чрез HTTPS (DNS over HTTPS, DoH). Първият метод се фокусира върху безопасността и дава на мрежовите администратори повече възможности за контрол, а вторият се фокусира предимно върху конфиденциалността на потребителите. От гледна точка на удобството на използване на браузърите потребителите няма да забележат разлика между тези два подхода. Но това не може да се каже за системните администратори.

Двата метода на криптиране

Съвременните мрежи използват транспортния TLS протокол за безопасен обмен на данни – например за преглед на уеб страниците, за обмен на файлове, за осъществяване на VPN връзки, за използване на отдалечен десктоп, за разговори чрез IP и други. Едната страна на връзката, обикновено сървърът, разполага със сертификат с цифров подпис, издаден от сертификационния център. Отсрещната страна на връзката, обикновено потребителят, използва сертификатите, за да провери с кого обменя своите данни.

Тъй като TLS протоколът вече широко се използва за осигуряване на конфиденциалност, автентификация и цялост на данните, съвсем логично изглежда разширяването на протокола за работа и с DNS. DNS over TLS (IETF RFC 7858) определя по какъв точно начин DNS ще се криптира с помощта на TLS и ще се предава чрез широко използвания TCP протокол.

По подразбиране, DNS използва порт 53 чрез TCP или UDP протокола. При използването на DNS over TLS, всички криптирани DNS мрежови пакети използват порт 853. Повечето общодостъпни DNS сървъри, включително Cloudflare, Quad9 и Google, вече поддържат DNS over TLS. Компаниите, използващи собствена DNS инфраструктура също могат да използват това криптиране.

Google включи поддръжката на DNS over TLS в ОС Android 9 Pie, за да могат потребителите да използват DNS криптирането както за Wi-Fi, така и за мобилните мрежи. Много приложения и устройства вече могат да работят с тази опция.

От друга страна, DNS over HTTPS (IETF RFC8484) по принцип е разработен от гледна точка принципите на работа на съвременния интерфейс, понеже при него всичките DNS пакети данни се вмъкват в HTTPS потока заедно с останалия криптиран уеб трафик. За разлика от предишния метод, DNS over HTTPS не криптира отделните заявки, а ги пропуска чрез криптирана тунелна връзка между клиента и сървъра.

И тъй като този в вид връзка се използват HTTPS и HTTP/2 протоколите, всички мрежови пакети изглеждат еднакви. Който и да следи порт 443 – стандартният HTTPS порт, няма как да идентифицира DNS заявките от останалия уеб трафик.

Плюсовете и минусите на всеки подход

За привържениците на конфиденциалността, DNS over TLS не е достатъчно добър, понеже всеки, който контролира мрежата, ще знае че ако има каквато и да било активност на 853 порт, то това е свързано с DNS. Въпреки че този хипотетичен наблюдател няма как да разбере какви са данните, понеже те са криптирани, самият факт, че мрежовият администратор или провайдър ще знаят, че има такава активност, може да доведе до последствия за потребителя – в най-лошия случай този порт може да бъде затворен. Въпреки че DNS over TLS е безопасен, той не е така удобен от гледна точка на безопасността като DNS over HTTPS.

Друг недостатък на DNS over TLS е в това, че на програмистите и на производителите на различните устройства се налага да правят промени, за да могат техните приложения и техния хардуер да поддържат този протокол. И ако тази поддръжка липсва, дори и ако указният в настройките DNS сървър може да работи с подобно криптиране, той няма как да защити данните на потребителя.

DNS over HTTPS е по-демократичен, понеже всеки потребител, използващ уеб браузър, автоматично получава DNS криптиране. DNS over HTTPS лишава третите страни от каквато и да била възможност да преглеждат информацията за това, кои сайтове посещава потребителят. Именно това е, което искат защитниците на конфиденциалността, но е точно обратното на това, което искат системните администратори.

Конфиденциалност или безопасност

DNS over HTTPS довежда конфиденциалността до абсолютния максимум. Само че създателите на приложения за родителски контрол, антивирусните програми, корпоративните защитни стени и другите най-различни мрежови инструменти не споделят тази идеология. Включването на DNS over HTTPS по подразбиране в браузъра означава, че всички DNS заявки се подават на указания в настройките DNS сървър, който обаче може да не е собствения DNS сървър на съответната организация или провайдър. Няма как да се разбере.

Mozilla наскоро обяви, че DNS over HTTPS ще се използва по подразбиране за американските потребители на Firefox и тази функция в момента най-активно се внедрява. Firefox автоматично препраща целия DNS трафик към популярния сървър Cloudflare (1.1.1.1) и игнорира настройките зададени от потребителя. Това е доста интересно решение, понеже няма как да се използват въведените към днешен ден правила за филтриране на DNS и потребителите елементарно могат да попаднат на уеб сайтове, достъпът до които се блокира чрез DNS.

Google също включи DNS over HTTPS за потребителите на Chrome, но подходът е малко по-друг. При Chrome, методът DNS over HTTPS се използва много по-гъвкаво. Докато при Firefox се използва единствено DNS сървъра CloudFlare, то в Chrome се използва DoH, без да се налага смяната на DNS провайдъра, въпреки че е възможно да се направи това. Така например, ако в системните настройки потребителят е избрал DNS адреса 8.8.8.8, то в Chrome по подразбиране ще бъда активирана DoH услугата на Google („https://dns.google.com/dns-query“). Но ако DNS е 1.1.1.1, то ще бъде избрана DoH услугата на Cloudflare („https://cloudflare-dns.com/dns-query“). Аналогично е при другите DNS провайдъри.

А Microsoft както винаги, се опитва да седи на два стола едновременно: от една страна софтуерният гигант иска да поддържа DNS over HTTPS директно в операционната система Windows, но едновременно с това да даде известен контрол на системните администратори.

Ейприл счита, че криптирането на DNS трафика е разумно ограничение на достъпа до лоши сайтове, но трябва да сме внимателни с това криптиране. Провайдърите често блокират имената на хостовете, използвани от Wannacry и други вредоносни програми, а понякога директно препращат към други места потребителите, които се опитват да получат достъп до вредоносни или блокирани сайтове. Друг пример – администраторите на общодостъпните Wi-Fi мрежи модифицират DNS заявките по такъв начин, че за новите потребители в началото да се зарежда страницата за логване. DNS over HTTPS праща в небитието всички тези настройки.

Отчасти затова Mozilla не включва DNS over HTTPS за потребителите на Firefox в Обединеното Кралство. Законът във Великобритания изисква от интернет провайдърите да блокират достъпа до нелегалните уеб сайтове, както и сайтовете, които по някакъв начин са свързани с детска порнография.

Към днешен ден DNS over HTTPS срещу DNS over TLS стана още една разновидност на борбата за данните на потребителите при преглеждане на уеб страниците, както и за това, кой може да има достъп до тях.

DNS заявките при Firefox се изпращат към сървъра Cloudflare, а това означава, че този сървър има достъп до огромно количество ценни данни. Редица експерти считат, че технологичните компании, които притежават централизирани DNS сървъри като Cloudflare, в крайна сметка ще имат голяма полза от DNS over HTTPS, понеже именно те ще събират информацията за това, какво гледат хората в интернет.

Привържениците на конфиденциалността са на мнение, че не провайдърите, а самите потребители трябва да избират по какъв DNS начин ще криптират и посещават сайтовете. Но решението на Mozilla принуждава потребителите са използват единствено Cloudflare независимо от техните предпочитания.

Повечето потребители няма да забележат каквато и да било разлика след като криптирането на DNS трафика стане стандарт. Всъщност, това вече се случи за потребителите на Chrome. Така или иначе, корпорациите и интернет провайдърите трябва да постигнат най-подходящия компромис, като се съобразят с това, че цената на на повишаването на конфиденциалността е намаляването на безопасността.

Реалността на съвременния интернет е такава, че интернет провайдърите и различните компании играят немалка роля в предотвратяването на различните онлайн заплахи на потребителите. В идеалния случай уеб браузърите би трябвало да дадат на потребителите възможност да избират, дали да използват DNS over TLS или DNS over HTTPS, както и да могат да избират какъв DNS доставчик и съответно DNS сървър да използват.