Windows 10 kommer att stödja DNS över HTTPS naturligt

DNS-over-HTTPS är ett relativt ungt webbprotokoll, implementerat för ungefär två år sedan. Det är avsett att öka användarnas integritet och säkerhet genom att förhindra avlyssning och manipulering av DNS-data av man-in-the-middle-attacker genom att använda HTTPS-protokollet för att kryptera data mellan DoH-klienten och den DoH-baserade DNS: en resolver.

Windows Core Networking-teamet håller på att lägga till DoH-stöd till operativsystemet. Här är deras vägledande principer för att fatta beslut vilken typ av DNS-kryptering som Windows kommer att stödja och hur den kommer att konfigureras.

• Windows DNS måste vara så privat och funktionell som möjligt som standard utan behov av användare eller administratörskonfiguration eftersom Windows DNS-trafik representerar en ögonblicksbild av användarens surfning historia. För Windows-användare betyder detta att deras upplevelse kommer att göras så privat som möjligt av Windows direkt. För Microsoft innebär detta att vi kommer att leta efter möjligheter att kryptera Windows DNS-trafik utan att ändra de konfigurerade DNS-resolvers som ställts in av användare och systemadministratörer.
• Integritetsinriktade Windows-användare och administratörer måste guidas till DNS-inställningar även om de inte vet vad DNS är ännu. Många användare är intresserade av att kontrollera sin integritet och letar efter sekretesscentrerade inställningar som appbehörigheter till kamera och plats men kanske inte är medveten om eller känner till DNS-inställningar eller förstår varför de är viktiga och kanske inte letar efter dem i enheten inställningar.
• Windows-användare och administratörer måste kunna förbättra sin DNS-konfiguration med så få enkla åtgärder som möjligt. Vi måste se till att vi inte kräver specialiserad kunskap eller ansträngning från Windows-användare för att dra nytta av krypterad DNS. Både företagspolicyer och UI-åtgärder bör vara något du bara behöver göra en gång istället för att behöva underhålla.
• Windows-användare och administratörer måste uttryckligen tillåta fallback från krypterad DNS när den väl har konfigurerats. När Windows väl har konfigurerats för att använda krypterad DNS, om det inte får några andra instruktioner från Windows-användare eller administratörer, bör det anta att det är förbjudet att falla tillbaka till okrypterad DNS.

Baserat på dessa principer gör teamet planer för att anta DNS över HTTPS (eller DoH) i Windows DNS-klienten. Som plattform försöker Windows Core Networking göra det möjligt för användare att använda vilka protokoll de behöver, så vi är öppna för att ha andra alternativ som DNS över TLS (DoT) i framtiden. Från och med nu arbetar de för att stödja DoH eftersom det kommer att tillåta dem att återanvända sin befintliga HTTPS-infrastruktur.

För den första milstolpen kommer de att använda DoH för DNS-servrar som Windows redan är konfigurerat att använda. Det finns nu flera offentliga DNS-servrar som stöder DoH, och om en Windows-användare eller enhetsadministratör konfigurerar en av dem idag, kommer Windows bara att använda klassisk DNS (utan kryptering) till den servern. Men eftersom dessa servrar och deras DoH-konfigurationer är välkända, kan Windows automatiskt uppgradera till DoH medan samma server används. Teamet hävdar följande fördelar med denna förändring:

• Vi kommer inte att göra några ändringar av vilken DNS-server Windows konfigurerades att använda av användaren eller nätverket. Idag bestämmer användare och administratörer vilken DNS-server som ska användas genom att välja nätverket de går med i eller ange servern direkt; den här milstolpen kommer inte att förändra något i det. Många människor använder ISP eller offentlig DNS-innehållsfiltrering för att göra saker som att blockera stötande webbplatser. Att tyst ändra DNS-servrarna som är betrodda att göra Windows-upplösningar kan oavsiktligt kringgå dessa kontroller och frustrera våra användare. Vi tror att enhetsadministratörer har rätt att kontrollera vart deras DNS-trafik går.
• Många användare och applikationer som vill ha integritet kommer att börja få fördelarna utan att behöva känna till DNS. I linje med princip 1 blir DNS-frågorna mer privata utan någon åtgärd från vare sig appar eller användare. När båda slutpunkterna stöder kryptering, finns det ingen anledning att vänta på tillstånd att använda kryptering!
• Vi kan börja se utmaningarna med att upprätthålla gränsen för att föredra upplösningsfel framför okrypterad reserv. I linje med princip 4 kommer denna DoH-användning att upprätthållas så att en server som bekräftats av Windows att stödja DoH inte kommer att konsulteras via klassisk DNS. Om denna preferens för integritet framför funktionalitet orsakar störningar i vanliga webbscenarier, får vi reda på det tidigt.

I framtiden kommer Windows 10 att innehålla möjligheten att explicit konfigurera DoH-servrar.

Källa