שמעתי את הטענה נגד DNS-over-HTTPS כי זה אמור להיות סיוט אבטחה עבור מגיני הרשת מכיוון שהוא מאפשר DNS מוצפן דרך יציאה 443, בהשוואה ל- DNS-over-TLS שעובר דרך יציאה 853.
מגיני רשת אלה הם אולי סביבות ארגוניות המסתמכות על בדיקת DNS רגיל בכדי לאכוף מדיניות. בהנחה שהתקנים יחזרו ל- DNS בטקסט רגיל אם DoH / DoT אינם זמינים, מנהלי הרשת יכולים לחסום את יציאה 853 עם סיכון מועט מכיוון שהוא משמש רק את DoT. מצד שני, אם הם פשוט חוסמים את יציאת 443, אז כל אתרי ה- HTTPS יהפכו לבלתי זמינים.
באופן דומה, אם הם רואים שטף של תעבורת DoT, זה יכול להצביע על חריגה. אם מתרחשים כמה קפיצי תנועה דומים עם DoH, יתכן שלא ניתן יהיה להבחין ישירות בין HTTPS לתעבורת DoH.
באשר לשאלה מהכותרת:
מדוע DNS-over-HTTPS סיוט אבטחה כה גדול בהשוואה ל- DNS-over-TLS?
זה כנראה צריך להיות מנוסח כ"למה DNS-over-HTTPS נראה חזק > כסיוט ביטחוני בהשוואה ל- DNS-over-TLS? ". DoH ו- DoT די דומים ברמת פרוטוקול, בשני המקרים הודעות DNS מוצפנות. ראה גם את פוסט הבלוג שלי ב- Cloudflare המסביר הצפנת DNS שבו אני מתאר את פרטי הפרוטוקול הטכני, אפשרויות הפריסה והציפיות השונות מצד אנשים וארגונים.
מבחינה היסטורית, מערכת ההפעלה קיבלה כל פותר ה- DNS שפורסם על ידי הרשת המקומית. זה מוגדר בדרך כלל על ידי מנהל הרשת הארגונית, או ספק האינטרנט. הם מצפים שתהיה להם היכולת לספק שירותים כמו חסימת תוכנות זדוניות, סינון הורים, חסימת תוכן לא חוקי ובמקרים מסוימים רישום שאילתות.
DoH ו- DoT מעולים בהגנה על פרטיותם ושלמותן של שאילתות DNS בסביבות לא מהימנות כגון Wi-Fi בשדה התעופה או אפילו חטטנות / הפרעות מצד השלטון המקומי. אולם מכיוון שמדובר בטכנולוגיה מתפתחת, לא לכל פתרני ה- DNS הקיימים יש תמיכה בכך.
זה מעמיד את המאמצים המוקדמים כמו מוזילה במצב קשה, אם הם נוטשים את הרעיון של שיפור הפרטיות, או שהם צריכים לבחור פותר DNS התומך ב- DoH עם מדיניות פרטיות חזקה? בסופו של דבר הם הגיעו עם האחרון, אך פירוש הדבר היה שמתחיל להתעלם ממכשיר ה- DNS המוגדר כברירת מחדל שמספק מערכת ההפעלה. זו כנראה הסיבה לדחיפה השלילית כנגד ספק שירותי האינטרנט והממשלות נגד DoH. אם DoT היה נפרס בצורה דומה, הייתי מצפה לביקורת דומה.
לסיום, אני לא חושב ש- DoH הוא כזה "סיוט ביטחוני" כנטען. רק שחלק מהארגונים מודאגים מאיבוד שליטה ב- DNS. בעבר היא נשלטה באופן מרכזי על ידי מערכת ההפעלה, אך מכיוון ש- DoH / DoT עדיין די חדש, אין תקן אמיתי להגדרת תצורה כל כך שליישומים רבים יש מנגנונים משלהם לעשות זאת. זה כנראה "הסיוט" שיש למנהלים מסוימים, המורכבות הנוספת שעוברים עליהם כדי להבטיח שמדיניות הסינון שלהם תוחל.