W tym artykule opisano DNS poprzez HTTPS i sposób włączania, edytowania ustawień lub wyłączania tej funkcji.

O usłudze DNS poprzez HTTPS

Po wpisaniu adresu internetowego lub nazwy domeny w pasku adresu (na przykład: www.mozilla.org) przeglądarka wysyła przez Internet prośbę o wyszukanie adresu IP dla tej strony internetowej. Tradycyjnie żądanie to jest wysyłane do serwerów DNS za pośrednictwem zwykłego połączenia tekstowego. Połączenie to nie jest zaszyfrowane, co ułatwia osobom trzecim sprawdzenie, do jakiej strony internetowej masz zamiar uzyskać dostęp.

DNS poprzez HTTPS (DoH) działa inaczej. Wysyła nazwę domeny wpisaną przez użytkownika na serwer DNS kompatybilny z DoH przy użyciu szyfrowanego połączenia HTTPS zamiast połączenia tekstowego. Uniemożliwia to osobom trzecim wgląd w strony internetowe, do których próbujesz uzyskać dostęp.

Korzyści

DoH zwiększa prywatność poprzez ukrywanie wyszukiwań nazw domen przed osobami czającymi się w publicznej sieci Wi-Fi, twoim ISP lub kimkolwiek innym w twojej sieci lokalnej. DoH, gdy jest włączone, zapewnia, że twój ISP nie może zbierać i sprzedawać danych związanych z twoimi zachowaniami podczas przeglądania stron internetowych.

Ryzyka

• Niektóre osoby i organizacje polegają na systemie DNS w celu blokowania złośliwego oprogramowania, włączania kontroli rodzicielskiej lub filtrowania dostępu przeglądarki do witryn internetowych. Gdy funkcja DoH jest włączona, omija lokalny serwer DNS i łamie te specjalne zasady. Przy domyślnym aktywowaniu DoH, Firefox umożliwi użytkownikom (poprzez ustawienia) i organizacjom (poprzez konfigurację polityk korporacyjnych oraz wyszukiwanie domeny kanarkowej) wyłączenie DoH, gdy zakłóca to preferowaną politykę.
• Gdy DoH jest włączony, Firefox domyślnie kieruje zapytania DoH do serwerów DNS obsługiwanych przez naszego zaufanego partnera, co oznacza, że ma on możliwość przeglądania zapytań użytkowników. Mozilla posiada silną politykę Trusted Recursive Resolver (TRR), która zabrania naszym partnerom zbierania danych osobowych. Aby zmniejszyć to ryzyko, nasi partnerzy są umownie zobowiązani do przestrzegania tej polityki.
• DoH może być wolniejsze od tradycyjnych zapytań DNS, ale podczas testów okazało się, że wpływ jest minimalny, a w wielu przypadkach DoH jest szybszy.

O naszym wdrożeniu DNS przez HTTPS

Zakończyliśmy wdrażanie funkcji DoH dla wszystkich użytkowników przeglądarki Firefox na komputery stacjonarne w Stanach Zjednoczonych w 2019 roku, i w Kanadzie w 2021. W marcu 2022 zaczęliśmy wdrażać domyślny DoH w Rosji i w Ukrainie. Obecnie pracujemy nad wprowadzeniem DoH w kolejnych krajach. Aktualnie DoH działa w trybie “zastępczym”. Na przykład, jeśli wyszukiwanie nazwy domeny przez serwer DoH z jakiegoś powodu zawiedzie, Firefox wycofa się i użyje domyślnego DNS skonfigurowanego przez system operacyjny zamiast wyświetlać błąd.

Jak wypisać się z tej funkcji

Jeśli jesteś użytkownikiem Firefoksa w lokalizacjach gdzie domyślnie działa DoH, przed pierwszym uruchomieniem DoH otrzymasz powiadomienie w Firefoksie, które pozwoli ci zrezygnować z włączenia DoH i zamiast tego kontynuować używanie domyślnego resolwera DNS systemu operacyjnego.

Ponadto Firefox sprawdzi, czy pewne funkcje, na które może mieć wpływ, jeśli funkcja DoH jest włączona, w tym:

• Czy kontrole rodzicielskie są włączone?
• Czy domyślny serwer DNS filtruje potencjalnie szkodliwe treści?
• Czy urządzenie jest zarządzane przez organizację, która może mieć specjalną konfigurację DNS?

Jeśli którykolwiek z tych testów ustali, że DoH może zakłócać działanie funkcji, DoH nie zostanie włączony. Testy te będą przeprowadzane za każdym razem, gdy urządzenie połączy się z inną siecią.

Jak skonfigurować sieć, by zablokować DoH

• Konfigurowanie sieci w celu wyłączenia DNS poprzez HTTPS
• DNS poprzez HTTPS (DoH) - Często zadawane pytania

Encrypted Client Hello (ECH)

W wersji 118, wprowadzamy istotną funkcję bezpieczeństwa: Encrypted Client Hello (ECH). Jej podstawową rolą jest wzmocnienie bezpieczeństwa początkowego połączenia podczas interakcji online. ECH, w połączeniu z DNS poprzez HTTPS (DoH), zwiększa bezpieczeństwo przeglądania:

• DoH jako warunek wstępny: W implementacji Firefoksa, ECH wymaga DoH, aby pobrać niezbędne klucze szyfrowania dla handshake'u. Bez aktywacji DoH, ECH nie może działać.
• Synergiczna ochrona: DoH działa poprzez szyfrowanie zapytań DNS, skutecznie chroniąc konwersję nazw witryn internetowych na adresy IP. Z drugiej strony, ECH koncentruje się na szyfrowaniu początkowych wymian między użytkownikiem a stroną internetową. Razem stanowią one kompleksową ochronę przed wieloma zagrożeniami internetowymi.
• Zwiększona ochrona: Po włączeniu zarówno ECH, jak i DoH, użytkownicy zyskują ulepszoną podwójną warstwę prywatności, zmniejszając potencjalne luki w zabezpieczeniach i zwiększając dyskrecję online.

Upewnij się, że DoH jest włączony w Firefoksie, aby w pełni skorzystać z ulepszeń bezpieczeństwa zapewnianych przez ECH. Aby uzyskać szczegółowe informacje, przeczytaj Opis mechanizmu Encrypted Client Hello (ECH) i Encrypted Client Hello (ECH) - Często zadawane pytania.