Säkrare webbsurf med DNS över HTTPS (DoH)
DNS över HTTPS eller DoH som det även kallas är en relativt ny IETF-draft som är skriven av Paul Hoffman på ICANN samt Patrick McManus på Mozilla. Målet med DoH är att skicka DNS-förfrågningar som vanligtvis går i klartext över internet i en krypterad tunnel över https. DoH är ett alternativ till DNSCrypt samt DNS över TLS.
Än så länge finns det stöd i webbläsarna Firefox och Chrome(?), dock inte aktiverat som standard.
Om du gillar risker i livet så kan du redan nu vill testa DoH. Har du en relativt ny version i Firefox kan du göra enligt följande:
- Skriv about:config i adressraden
- Godkänn ett eventuellt varningsmeddelande
- Sök efter network.trr som prefix i inställningsnamnet. TRR står för Trusted Recursive Resolver
- Ändra följande inställningar:
- Sätt network.trr.bootstrapAddress till 1.1.1.1
- Sätt network.trr.confirmationNS till kryptera.se
- Sätt network.trr.mode till 3
- Sätt network.trr.uri till https://mozilla.cloudflare-dns.com/dns-query
- Sedan är det klart. Du måste eventuellt starta om Firefox.
Skärmdump:
Och för att verifiera att DoH/TRR används så kan du göra enligt följande:
- Skriv about:networking i adressraden
- Godkänn eventuellt varningsmeddelande
- Tryck på DNS till vänster
- Titta på kolumnen där det står TRR. Där bör det stå true på majoriteten av genomförda uppslagningar:
Alternativt titta direkt på nätverkstrafiken med Wireshark eller tcpdump.
Skärmdump:
Några förklaringar: network.trr.mode kan sättas till något av följande lägen:
0 – Av (standard). Använd vanlig DNS
1 – Race native against TRR. Kör vanlig DNS och TRR och ta den som hinner först
2 – TRR first. Använd TRR enbart och använd DNS som backup
3 – TRR only. Kör bara TRR, använder enbart DNS för bootstrap (dvs hitta till DoH-servern)
4 – Shadow mode. Kör TRR hela tiden i bakgrunden men använd DNS. Bra för att undersöka svarstider etc
5 – Explicitly off. Välj att stänga av TRR
Funkar det dåligt med att köra mode 3 så kan du ändra till 2.
Även om DNS krypteras enligt ovan så läcker https klartext fortfarande om vart du surfar med fältet Server Name Indication (SNI). Men det finns hopp om kryperad SNI också.
Och för mer information om Firefox implementation av DoH kan jag rekommendera Daniel Stenbergs blogginlägg.
Daniel har även skrivit ett testprogram i C för att ställa doh-förfrågningar direkt från kommandotolken:
Det kan även vara bra att läsa Cloudflares privacy policy.
Kryptogurun