Chrome už uživatelsky podporuje DNS servery CZ.NIC KE STAŽENÍ

„Aktivity CZ.NIC okolo DoH si již letos na jaře všimli v Googlu. Podpora DoH se totiž postupně dostává a vylepšuje v internetových prohlížečích a my jsme rádi, že se Google rozhodl dát uživatelům možnost zvolit, jakého poskytovatele DoH v prohlížeči Chrome využije. A nezapomněl při tom ani na nás,“ uvádí Zdeněk Brůna, CTO CZ.NIC.

Celé aktivitě předcházely drobné komplikace v podobě dodržení procesních postupů Googlu, komunikace celé věci a časově věc zdržela i situace kolem koronaviru COVID-19. Nicméně s příchodem Chrome 87 už je možnost uživatelsky dostupná přímo v nastaveních prohlížeče. Zatím je volba dostupná pouze na Windows a Androidu, s podporou Linuxu se počítá v příštím roce, upřesňuje Brůna.

Jak nastavit DNS-over-HTTPS realizované CZ.NIC OVDR?

1. Otevřeme nastavení Chrome (pod ikonkou tří teček - položka Nastavení); 
2. vpravo zvolíme Ochrana soukromí a zabezpečení; 
3. odklikneme Zabezpečení; 
4. navigujeme k Rozšířeným nastavením a položce Používat zabezpečené DNS; 
5. povolíme zapnutím posuvníku do aktivního stavu; 
6. z voleb vybereme Vlastní; 
7. zvolíme položku CZ.NIC OVDR; 
8. restartujeme Chrome. 

Chrome fakticky už od verze 84 automaticky převádí překlad šifrování domén na poskytovatele DoH nastaveného v systému (volba Používat zabezpečené DNS - Prostřednictvím vašeho aktuálního poskytovatele služeb), a proto pokud máte nastavené DNS resolvery na CZ.NIC OVDR, používá je Chrome už systémově.

DoH poskytované otevřenými DNSSEC validujícími resolvery běží na HTTP/2. Tomáš Křížek z týmu Knot Resolveru dokonce o původní implementaci na HTTP/1.1 dokonce říká, že byla špatným nápadem. HTTP/1.1 totiž nedosahuje ani výkonu alternativního šifrování DNS-over-TCP a navíc musí odeslat odpovědi ve stejném pořadí, v jakém dorazily dotazy, na rozdíl od HTTP/2, která umožňuje odesílat odpovědi na dotazy nezávisle na pořadí, ve kterém dorazily.

Výhodou OVDR CZ.NIC je navíc implementace technologie DNSSEC. DNSSEC poskytuje uživatelům jistotu, že informace, které z DNS získal, byly poskytnuty správným zdrojem, jsou úplné a jejich integrita nebyla při přenosu narušena. Jestliže tedy DNS-over-HTTPS zajišťuje důvěrnost komunikace ze strany uživatele, pak DNSSEC zaručuje důvěryhodnost odpovědi.

Nasadit na úrovni systému nebo aplikace?

Křížek upozorňuje ještě na jednu podstatnou okolnost: totiž že nasazení DNS-over-HTTPS na úrovni aplikace nezaručí soukromí uživatele před poskytovatelem DNS:

„Pokud máte kontrolu nad lokální sítí nebo důvěřujete jejímu správci, o důvěrnost svých dotazů vůči místnímu resolveru se pravděpodobně nemusíte příliš starat. Co by vás mohlo zajímat z hlediska soukromí, je odesílání metadat identifikujících aplikace spolu s dotazy DNS velkému poskytovateli cloudových služeb, který má jak schopnost, tak i motivaci ke zneužití těchto dat.

Bohužel, to je přesně to, co umožňuje podpora DoH v prohlížečích. Volba použití DoH na úrovni aplikace může nakonec ve skutečnosti zhoršit vaše soukromí.“

A Křížek nabízí i řešení - ovšem v podobě systémového/lokálního nasazení DNS-over-TCP:

„Pokud se obáváte o svoje soukromí, pak je možná lepším řešením nastavení lokálního (nebo systémového) resolveru a použití DoT k přesměrování provozu na resolver podle vaší volby. Pokud se za vaším vlastním resolverem nachází více aplikací a zařízení, stávají se nejen nerozlišitelnými pro provozovatele cílového resolveru, ale také sdílejí lokální mezipaměť. Tím získáváte rychlejší odpovědi a odesíláte méně dotazů na cílový resolver. A co je nejdůležitější, pokud používáte DoT, žádná metadata pro identifikaci aplikací neopustí důvěryhodnou síť.“

Zdroje

• Blog.NIC.CZ
• Image by Darwin Laganzon from Pixabay

Daniel Beránek, 03.12.2020 02:49

Tento program naleznete ke stažení v našem katalogu www.instaluj.cz