DNS через HTTPS (DoH) — протокол, що передає DNS-запити й відповіді всередині зашифрованих HTTPS-з’єднань, приховуючи їх від сторонніх і не даючи підмінити їх на шляху передавання.
Як працює DNS через HTTPS
Звичайні запити DNS передаються відкритим текстом на порт 53, тож будь-хто в мережі бачить, які домени відвідує користувач, і може підмінити відповіді. DoH, стандартизований у RFC 8484 (2018), пакує DNS-повідомлення в HTTPS-запити до резолвера, зазвичай на порт 443, де вони змішуються зі звичайним вебтрафіком. Споріднений протокол DNS over TLS (DoT, RFC 7858) шифрує DNS за допомогою TLS на окремому порту 853, який мережевим адміністраторам легше розпізнати.
Firefox почав вмикати DoH за замовчуванням для користувачів зі США у 2020 році; Chrome, Edge, Android і Windows 11 також підтримують зашифрований DNS. Публічні резолвери Cloudflare, Google і Quad9 пропонують DoH-ендпоінти.
Чому DoH важливий для безпеки
Для користувачів DoH захищає приватність у публічних мережах Wi-Fi та ускладнює цензуру й підміну на рівні DNS. Для організацій це палиця з двома кінцями:
- Втрата видимості — браузери, що звертаються до зовнішнього DoH-резолвера, оминають корпоративну DNS-фільтрацію, журналювання й захисні DNS-сервіси.
- Зловживання шкідливим ПЗ — бекдор Godlua, виявлений у 2019 році, став одним із перших відомих зразків шкідливого ПЗ, що використовував DoH для приховування запитів до командного сервера, а іранське угруповання OilRig (APT34) застосовувало тунелювання через DoH для ексфільтрації даних.
- Складність виявлення — DNS-тунелювання всередині HTTPS неможливо перевірити без перехоплення TLS.
Рекомендації
- У компаніях розгорнути внутрішній DoH- або DoT-резолвер і примусово призначати його через політики браузерів та ОС.
- Блокувати відомі публічні DoH-резолвери на міжмережевому екрані, якщо політика вимагає видимості DNS.
- Враховувати, що Firefox перевіряє канарковий домен use-application-dns.net, за допомогою якого мережа може вимкнути автоматичний DoH.
- Удома обирати надійний резолвер, бажано з фільтрацією шкідливих доменів.
