Windows 10 understøtter DNS over HTTPS Native

DNS-over-HTTPS er en relativt ung webprotokol, implementeret for omkring to år siden. Det er beregnet til at øge brugernes privatliv og sikkerhed ved at forhindre aflytning og manipulation af DNS-data af man-in-the-middle-angreb ved at bruge HTTPS-protokollen til at kryptere data mellem DoH-klienten og den DoH-baserede DNS resolver.

Windows Core Networking-teamet har travlt med at tilføje DoH-understøttelse til operativsystemet. Her er deres vejledende principper for at træffe beslutninger, hvilken slags DNS-kryptering Windows vil understøtte, og hvordan den vil blive konfigureret.

• Windows DNS skal som standard være så privat og funktionelt som muligt uden behov for bruger eller admin-konfiguration, fordi Windows DNS-trafik repræsenterer et øjebliksbillede af brugerens browsing historie. For Windows-brugere betyder det, at deres oplevelse bliver gjort så privat som muligt af Windows ud af boksen. For Microsoft betyder det, at vi vil lede efter muligheder for at kryptere Windows DNS-trafik uden at ændre de konfigurerede DNS-resolvere, der er indstillet af brugere og systemadministratorer.
• Privatlivsorienterede Windows-brugere og -administratorer skal guides til DNS-indstillinger, selvom de endnu ikke ved, hvad DNS er. Mange brugere er interesserede i at kontrollere deres privatliv og går på udkig efter privatlivscentrerede indstillinger såsom app-tilladelser til kamera og placering, men er muligvis ikke opmærksom på eller kender til DNS-indstillinger eller forstår, hvorfor de betyder noget, og leder muligvis ikke efter dem på enheden indstillinger.
• Windows-brugere og -administratorer skal kunne forbedre deres DNS-konfiguration med så få simple handlinger som muligt. Vi skal sikre, at vi ikke kræver specialiseret viden eller indsats fra Windows-brugeres side for at drage fordel af krypteret DNS. Både virksomhedspolitikker og UI-handlinger bør være noget, du kun behøver at gøre én gang i stedet for at skulle vedligeholde.
• Windows-brugere og -administratorer skal udtrykkeligt tillade fallback fra krypteret DNS, når de er konfigureret. Når Windows er blevet konfigureret til at bruge krypteret DNS, hvis det ikke får andre instruktioner fra Windows-brugere eller administratorer, bør det antage, at det er forbudt at falde tilbage til ukrypteret DNS.

Baseret på disse principper lægger teamet planer for at vedtage DNS over HTTPS (eller DoH) i Windows DNS-klienten. Som platform søger Windows Core Networking at gøre det muligt for brugere at bruge de protokoller, de har brug for, så vi er åbne for at have andre muligheder såsom DNS over TLS (DoT) i fremtiden. Lige nu arbejder de på at understøtte DoH, fordi det vil give dem mulighed for at genbruge deres eksisterende HTTPS-infrastruktur.

Til den første milepæl vil de bruge DoH til DNS-servere, som Windows allerede er konfigureret til at bruge. Der er nu flere offentlige DNS-servere, der understøtter DoH, og hvis en Windows-bruger eller enhedsadministrator konfigurerer en af ​​dem i dag, vil Windows bare bruge klassisk DNS (uden kryptering) til den server. Men da disse servere og deres DoH-konfigurationer er velkendte, kan Windows automatisk opgradere til DoH, mens du bruger den samme server. Holdet hævder følgende fordele ved denne ændring:

• Vi vil ikke foretage nogen ændringer af, hvilken DNS-server Windows blev konfigureret til at bruge af brugeren eller netværket. I dag bestemmer brugere og administratorer, hvilken DNS-server de skal bruge ved at vælge det netværk, de tilslutter sig, eller ved at angive serveren direkte; denne milepæl vil ikke ændre noget ved det. Mange mennesker bruger internetudbyder eller offentlig DNS-indholdsfiltrering til at gøre ting som at blokere stødende websteder. Stille ændring af DNS-servere, der er tillid til at udføre Windows-opløsninger, kan utilsigtet omgå disse kontroller og frustrere vores brugere. Vi mener, at enhedsadministratorer har ret til at kontrollere, hvor deres DNS-trafik går hen.
• Mange brugere og applikationer, der ønsker privatliv, vil begynde at få fordelene uden at skulle kende til DNS. I overensstemmelse med princip 1 bliver DNS-forespørgslerne mere private uden handling fra hverken apps eller brugere. Når begge endepunkter understøtter kryptering, er der ingen grund til at vente på tilladelse til at bruge kryptering!
• Vi kan begynde at se udfordringerne ved at håndhæve linjen om at foretrække opløsningsfejl frem for ukrypteret fallback. I overensstemmelse med princip 4 vil denne DoH-brug blive håndhævet, så en server, der er bekræftet af Windows til at understøtte DoH, ikke vil blive konsulteret via klassisk DNS. Hvis denne præference for privatliv frem for funktionalitet forårsager forstyrrelser i almindelige webscenarier, finder vi ud af det tidligt.

I fremtiden vil Windows 10 inkludere muligheden for eksplicit at konfigurere DoH-servere.

Kilde