DNS поверх HTTPS (DoH) — протокол, который передаёт DNS-запросы и ответы внутри зашифрованных HTTPS-соединений, скрывая их от посторонних и не позволяя подменить их на пути следования.
Как работает DNS поверх HTTPS
Обычные запросы DNS передаются открытым текстом на порт 53, поэтому любой в сети видит, какие домены посещает пользователь, и может подменить ответы. DoH, стандартизированный в RFC 8484 (2018), упаковывает DNS-сообщения в HTTPS-запросы к резолверу, обычно на порт 443, где они смешиваются с обычным веб-трафиком. Родственный протокол DNS over TLS (DoT, RFC 7858) шифрует DNS с помощью TLS на отдельном порту 853, который сетевым администраторам проще распознать.
Firefox начал включать DoH по умолчанию для пользователей из США в 2020 году; Chrome, Edge, Android и Windows 11 также поддерживают зашифрованный DNS. Публичные резолверы Cloudflare, Google и Quad9 предлагают DoH-эндпоинты.
Почему DoH важен для безопасности
Для пользователей DoH защищает приватность в публичных сетях Wi-Fi и затрудняет цензуру и подмену на уровне DNS. Для организаций это палка о двух концах:
- Потеря видимости — браузеры, обращающиеся к внешнему DoH-резолверу, обходят корпоративную DNS-фильтрацию, журналирование и защитные DNS-сервисы.
- Злоупотребление вредоносами — бэкдор Godlua, обнаруженный в 2019 году, стал одним из первых известных вредоносов, использующих DoH для сокрытия запросов к командному серверу, а иранская группировка OilRig (APT34) применяла туннелирование через DoH для эксфильтрации данных.
- Сложность обнаружения — DNS-туннелирование внутри HTTPS невозможно проверить без перехвата TLS.
Рекомендации
- В компаниях развернуть внутренний DoH- или DoT-резолвер и принудительно назначать его через политики браузеров и ОС.
- Блокировать известные публичные DoH-резолверы на межсетевом экране, если политика требует видимости DNS.
- Учитывать, что Firefox проверяет канареечный домен use-application-dns.net, с помощью которого сеть может отключить автоматический DoH.
- Дома выбирать надёжный резолвер, желательно с фильтрацией вредоносных доменов.
