Mozilla uważa DNS za zagrożenie, ale jej rozwiązanie wcale nie jest lepsze
W najbliższym czasie Mozilla planuje wprowadzić do Firefoxa zmiany w rozwiązywaniu adresów. Będzie to DNS over HTTPS i Trusted Recursive Resolver. W założeniach te opcje mają zapewnić użytkownikom większe bezpieczeństwo, ale specjaliści są innego zdania. Na szczęście ten mechanizm można wyłączyć i na razie nie zostanie wprowadzony domyślnie dla wszystkich.
Domain Name System, czyli DNS, wskazuje adres IP, z którym przeglądarka powinna się połączyć, po wpisaniu adresu strony przez użytkownika. Zapytanie jest wysyłane automatycznie przez przeglądarkę do serwera DNS, skonfigurowanego przez użytkownika lub dostawcę internetu. Serwer zwraca odpowiedni adres IP, z którym przeglądarka nawiązuje połączenie. Problem w tym, że nie tylko przeglądarka ma informacje o tym zapytaniu. Serwer DNS dostanie informację o tym, że z naszego domowego adresu IP zostało wysłane zapytanie o konkretną stronę. DNS-y operatorów mogą więc zbierać informacje o tym, jakie strony odwiedzają abonenci, z czym chce walczyć Mozilla.
Rozwiązaniem problemu ma być zmiana konfiguracji DNS w Firefoxie. Trusted Recursive Resolver sprawi, że dowolna konfiguracja DNS użytkownika nie będzie miała dla tej przeglądarki znaczenia, a zapytania obsłuży partner Mozilli – Cloudflare – z serwerami w Stanach Zjednoczonych. W efekcie informacje o odwiedzanych przez nas adresach będzie mieć nie DNS operatora, a zewnętrzna firma, podlegająca zagranicznemu prawu. Promowanie tego rozwiązania jako podnoszącego bezpieczeństwo jest mylące. Może ono rzeczywiście ochronić nas przed atakami w niegodnych zaufania sieciach, gdzie DNS może przekierowywać do szkodliwych stron i narażać nas na ataki phishingowe. Przekazywanie danych zewnętrznemu partnerowi jednak nie jest lepsze. Stwarza jedynie zagrożenia innego typu, na przykład dla naszej anonimowości. Dowolna amerykańska agencja rządowa będzie mogła uzyskać dostęp do naszych zapytań.
Trzeba jednak zaznaczyć, że operator sieci i tak ma informacje o tym, z jakimi adresami łączą się klienci, chyba że w użytku są VPN-y czy inne narzędzia do anonimizacji ruchu. Mozilla najwyraźniej nie wzięła pod uwagę tego, że DNS operatora raczej nie dostarcza dodatkowych informacji na ten temat, więc w przypadku godnych zaufania dostawców Internetu nie trzeba uciekać się do TRR. Cloudflare obiecuje, że usuwa dane identyfikujące użytkowników w ciągu 24 godzin, ale w tym czasie wiele może się wydarzyć.
Większym problemem jest częsty brak szyfrowania zapytań, które można bez problemu podsłuchać i dowiedzieć się, z jakimi domenami się łączymy. Tu akurat Mozilla ma dobre rozwiązanie w postaci przesyłania tych informacji protokołem HTTPS, zabezpieczającym dane. Jednak o ile użytkownik nie postanowi korzystać z serwerów DNS spoza sieci swojego operatora, wektor ataku jest bardzo wąski i ogranicza się do lokalnej sieci dostawcy. Zagrożenie jest więc minimalne.
Ponadto Mozilla w ten sposób dodaje SPOF (Single point of failure), czyli jeden punkt powodujący awarię całego systemu, do infrastruktury dostępnej dla użytkowników Firefoxa. Jeśli w Cloudflare wystąpi awaria, wszyscy użytkownicy Firefoxa stracą możliwość surfowania.
TRR i DoH są już dostępne w Firefoksie, a w wersji Nightly włączone domyślnie. By zmienić ustawienia, trzeba przejść do ustawień (about:config) i odnaleźć opcję network.trr.mode. Ustawienie wartości na 2 włączy system, na 5 zaś całkowicie go wyłączy. W zmiennej network.trr.uri można podać odnośnik do dowolnego serwera DoH, na przykład https://mozilla.cloudflare-dns.com/dns-query dla wspomnianego wyżej serwera Cloudflare.
