Windows 10 prendra en charge le DNS sur HTTPS en natif

DNS-over-HTTPS est un protocole Web relativement récent, mis en œuvre il y a environ deux ans. Il est destiné à augmenter la confidentialité et la sécurité des utilisateurs en empêchant l'écoute clandestine et la manipulation des données DNS par attaques de type man-in-the-middle en utilisant le protocole HTTPS pour crypter les données entre le client DoH et le DNS basé sur DoH résolveur.

L'équipe Windows Core Networking est occupée à ajouter le support DoH au système d'exploitation. Voici leurs principes directeurs pour décider quel type de cryptage DNS Windows prendra en charge et comment il sera configuré.

• Le DNS Windows doit être aussi privé et fonctionnel que possible par défaut sans avoir besoin d'utilisateur ou configuration admin car le trafic DNS Windows représente un instantané de la navigation de l'utilisateur l'histoire. Pour les utilisateurs de Windows, cela signifie que leur expérience sera rendue aussi privée que possible par Windows prêt à l'emploi. Pour Microsoft, cela signifie que nous rechercherons des opportunités de chiffrer le trafic DNS Windows sans modifier les résolveurs DNS configurés définis par les utilisateurs et les administrateurs système.
• Les utilisateurs et administrateurs Windows soucieux de la confidentialité doivent être guidés vers les paramètres DNS, même s'ils ne savent pas encore ce qu'est le DNS. De nombreux utilisateurs souhaitent contrôler leur vie privée et recherchent des paramètres axés sur la confidentialité, tels que les autorisations d'application pour l'appareil photo et emplacement, mais peut ne pas être au courant ou connaître les paramètres DNS ou comprendre pourquoi ils sont importants et ne pas les rechercher dans l'appareil Les paramètres.
• Les utilisateurs et administrateurs Windows doivent pouvoir améliorer leur configuration DNS avec le moins d'actions possibles. Nous devons nous assurer que nous n'exigeons pas de connaissances ou d'efforts spécialisés de la part des utilisateurs de Windows pour bénéficier du DNS crypté. Les politiques d'entreprise et les actions d'interface utilisateur doivent être quelque chose que vous n'avez à faire qu'une seule fois plutôt que de devoir les maintenir.
• Les utilisateurs et administrateurs Windows doivent autoriser explicitement le repli à partir du DNS crypté une fois configuré. Une fois que Windows a été configuré pour utiliser un DNS crypté, s'il ne reçoit aucune autre instruction des utilisateurs ou administrateurs Windows, il doit supposer que le retour à un DNS non crypté est interdit.

Sur la base de ces principes, l'équipe envisage d'adopter DNS sur HTTPS (ou DoH) dans le client DNS Windows. En tant que plate-forme, Windows Core Networking cherche à permettre aux utilisateurs d'utiliser tous les protocoles dont ils ont besoin, nous sommes donc ouverts à d'autres options telles que DNS sur TLS (DoT) à l'avenir. À l'heure actuelle, ils travaillent pour prendre en charge le DoH car cela leur permettra de réutiliser leur infrastructure HTTPS existante.

Pour le premier jalon, ils vont utiliser DoH pour les serveurs DNS que Windows est déjà configuré pour utiliser. Il existe maintenant plusieurs serveurs DNS publics qui prennent en charge DoH, et si un utilisateur Windows ou un administrateur d'appareil en configure un aujourd'hui, Windows utilisera simplement le DNS classique (sans cryptage) sur ce serveur. Cependant, étant donné que ces serveurs et leurs configurations DoH sont bien connus, Windows peut automatiquement passer à DoH tout en utilisant le même serveur. L'équipe revendique les avantages suivants de ce changement :

• Nous n'apporterons aucune modification au serveur DNS que Windows a été configuré pour être utilisé par l'utilisateur ou le réseau. Aujourd'hui, les utilisateurs et les administrateurs décident du serveur DNS à utiliser en choisissant le réseau auquel ils se connectent ou en spécifiant directement le serveur; cette étape n'y changera rien. De nombreuses personnes utilisent le filtrage de contenu ISP ou DNS public pour faire des choses comme bloquer les sites Web offensants. Changer silencieusement les serveurs DNS de confiance pour effectuer les résolutions Windows pourrait contourner par inadvertance ces contrôles et frustrer nos utilisateurs. Nous pensons que les administrateurs d'appareils ont le droit de contrôler la destination de leur trafic DNS.
• De nombreux utilisateurs et applications qui souhaitent la confidentialité commenceront à bénéficier des avantages sans avoir à connaître le DNS. Conformément au principe 1, les requêtes DNS deviennent plus privées sans aucune action de la part des applications ou des utilisateurs. Lorsque les deux points de terminaison prennent en charge le chiffrement, il n'y a aucune raison d'attendre l'autorisation d'utiliser le chiffrement !
• Nous pouvons commencer à voir les défis liés à l'application de la ligne consistant à préférer l'échec de la résolution au repli non crypté. Conformément au principe 4, cette utilisation du DoH sera imposée afin qu'un serveur confirmé par Windows pour supporter le DoH ne soit pas consulté via le DNS classique. Si cette préférence pour la confidentialité par rapport à la fonctionnalité perturbe les scénarios Web courants, nous le découvrirons rapidement.

À l'avenir, Windows 10 inclura la possibilité de configurer explicitement les serveurs DoH.

La source