Firefox gaat DNS-over-HTTPS in Verenigde Staten inschakelen

[Captain Kirk]

Later deze maand zal bij Amerikaanse Firefox-gebruikers DNS-over-HTTPS (DoH) worden ingeschakeld, zo heeft Mozilla bekendgemaakt. DoH zorgt voor een versleutelde verbinding voor dns-verzoeken, zodat informatie van het dns-verzoek niet kan lekken.

Op dit moment zijn dns-verzoeken onversleuteld, zodat allerlei partijen die onderweg kunnen inzien of veranderen. DoH moet dit probleem verhelpen door een versleutelde verbinding voor de dns-verzoeken te gebruiken. Dit kan echter gevolgen hebben voor zakelijke dns-configuraties en de software die ouders en scholen gebruiken om ongeschikte websites voor kinderen te blokkeren. De software kijkt namelijk naar het dns-verzoek van de gebruiker om te bepalen of een website moet worden geblokkeerd.

Sinds vorig jaar juni voert Mozilla verschillende experimenten met Firefox DoH uit. Daarnaast hebben meer dan 70.000 Firefox-gebruikers DoH zelf ingeschakeld. Uit de nu verzamelde statistieken blijkt volgens Mozilla dat DoH een betrouwbare dienst is en dat de meeste gebruikers zullen profiteren van de bescherming die versleuteld dns-verkeer biedt. De browserontwikkelaar wil DoH daarom standaard gaan inschakelen.

Mozilla zal wel rekening houden met bedrijven en gebruikers die software voor ouderlijk toezicht hebben ingeschakeld. 4,3 procent van de Firefox-gebruikers die aan het laatste DoH-experiment deelnam had ouderlijk toezicht van OpenDNS of Googles safe-search feature ingeschakeld. Doordat DoH dns-verzoeken versleutelt kunnen websites niet gefilterd worden.

Een zelfde probleem kan bij bedrijven spelen die een eigen dns-server hebben opgezet. Sommige dns-servers kunnen een ander ip-adres voor een domeinnaam teruggeven, afhankelijk of de gebruiker van wie het verzoek afkomstig is zich op een publiek of bedrijfsnetwerk bevindt. Dit gedrag wordt "split-horizon" genoemd en wordt onder andere toegepast bij het hosten van productie en een nog in ontwikkeling zijnde websites. Via DoH zou er dan toegang tot websites kunnen worden verkregen die niet voor het publiek zijn bedoeld.

Zodra Firefox detecteert dat gebruikers software voor ouderlijk toezicht gebruiken of dat er een bepaalde bedrijfsconfiguratie is ingesteld, zal DoH worden uitgeschakeld. In het geval van een split-horizon-configuratie zal Firefox op de standaard dns van het besturingssysteem terugvallen. Op deze manier zouden gebruikers geen hinder van de maatregel moeten ondervinden. Mozilla gaat DoH nu eind september geleidelijk onder Amerikaanse Firefox-gebruikers inschakelen. Mozilla zal laten weten wanneer de uitrol voor andere Firefox-gebruikers plaatsvindt. Gebruikers die niet willen wachten kunnen DoH eenvoudig zelf inschakelen.

 

 

bron: security.nl