Cloudflare-ingenjörer, Apple och nätverket för snabbt distribution har skapat ODoH-protokollet (Oblivious DoH), vilket är en stor förändring av domännamnssystemet aktuell som översätter användarvänliga domännamn till IP-adresser som datorer behöver för att hitta andra datorer.
Företagen arbetar med Internet Engineering Task Force (IETF, en organisation som utvecklar och marknadsför Internetstandarder) i hopp om att den ska bli en global standard.
Om ODoH
Omedvetna DoH förlitar sig på en separat DNS-förbättring som kallas DNS-över-HTTPS (förkortning för DoH), som fortfarande är i ett tidigt skede av adoption.
För det första är det viktigt att sätta elementen i sitt sammanhang. DNS är en databas som kopplar ett beskrivande namn, till exempel www.domain.com, till en serie datoriserade nummer, kallad IP-adress.
När du utför en "sökning" i denna databas, webbläsare kan hitta webbplatser för dina räkning. På grund av den ursprungliga designen av DNS för årtionden sedan, webbläsare som utförde DNS-sökningar för webbplatser (inklusive https: //) de var tvungna att utföra dessa sökningar utan kryptering.
Eftersom det inte finns någon kryptering, andra enheter på vägen de kan också samla in (eller till och med blockera eller modifiera) dessa datum. DNS-sökningar skickas till servrar som kan spionera på din webbplats webbhistorik utan att meddela dig eller lägga upp en policy om vad du ska göra med den informationen.
När Internet skapades var denna typ av hot mot människors integritet och säkerhet känd men ännu inte utnyttjad. Idag vet vi det okrypterad DNS är inte bara utsatt för spionering, utan utnyttjas ocksåoch branschaktörer har kommit till undsättning så att Internet kan flytta till säkrare alternativ.
För att göra detta har webbläsare valt att utföra DNS-sökningar över en krypterad HTTPS-anslutning. Detta döljer din webbhistorik från angripare i nätverket, förhindrar insamling av data från tredje part i nätverket som ansluter din dator till de webbplatser du besöker.
Således föddes DNS-över-HTTPS-protokollet, vilket ger webbläsare möjlighet att dölja DNS-frågor och svar i normal HTTPS-trafik för att göra en användares DNS-trafik osynlig. Samtidigt äventyrar det förmågan hos nätverksbevakare från tredje part (såsom Internetleverantörer) att upptäcka och filtrera sina kunders trafik.
Hur fungerar Oblivious?
ODoH är ett framväxande protokoll under utveckling vid IETF, det fungerar lägga till ett lager med offentlig nyckelkryptering samt en proxy nätverk mellan DoH-klienter och servrar, t.ex. 1.1.1.1.
Enligt Cloudflare säkerställer kombinationen av dessa två ytterligare element att endast användaren har åtkomst till både DNS-meddelanden och sin egen IP-adress samtidigt.
Målet dekrypterar förfrågningarna krypterade av klienten, genom en proxy. Också målet krypterar svaren och skickar dem tillbaka till proxyen. Standarden säger att målet kanske eller inte är resolver.
Proxyen gör vad en proxy ska göra, ja som överför meddelanden mellan klienten och målet.
Klienten beter sig som i DNS och DoH, men differentierar sig genom att kryptera frågorna för målet och dekryptera svaren från målet. Alla klienter som väljer att göra det kan ange en proxy och mål efter eget val.
Tillsammans ger den extra krypteringen och proxy följande skydd:
- Målet ser bara proxyförfrågan och IP-adressen.
- Proxyen har ingen synlighet i DNS-meddelanden, den har inte förmågan att identifiera, läsa eller ändra den begäran som skickats av klienten eller svaret som returneras av målet.
- Endast det avsedda målet kan läsa innehållet i begäran och ge ett svar.
Dessa tre garantier förbättrar kundens integritet samtidigt som säkerheten och integriteten för DNS-frågor upprätthålls.
Fuente: https://blog.cloudflare.com