Хроники связи СВО

Куда исчез зашифрованный DNS С конца прошлой недели пошли сообщения, что в России взялись за DoH — и не по адресам отдельных серверов, а по самому протоколу. У ряда операторов перестали отвечать резолверы Google и Cloudflare, а устройства при этом молча возвращаются на провайдерский DNS. Мои абоненты тоже активно жалуются "на интернет", хотя речь идет про VPNы и DNSы. Разберём по порядку, потому что вся история держится на одной детали, которую обычно проскакивают. Обычный DNS — это UDP, порт 53, открытый текст. Вы набираете имя, устройство спрашивает у резолвера адрес, и весь диалог оператор видит целиком: и что спросили, и что ответили. Так интернет работает с восемьдесят третьего года, никакой защиты туда не закладывали. Прикрыть это придумали двумя способами. DoT — DNS поверх TLS, отдельный порт 853. И DoH — DNS внутри обычного HTTPS, порт 443, тот же самый, по которому идёт весь остальной веб. Разница принципиальная. DoT сидит на выделенном порту, закрыть его — работа на десять секунд, порт виден в любом фильтре. DoH прячется в общем потоке HTTPS, и чтобы его оттуда выковырять, надо смотреть глубже: на имя сервера в TLS-рукопожатии, на известные адреса резолверов, на характерный путь запроса и тип содержимого. Это уже задача для ТСПУ, а не для списка портов. Но решает тут не то, чем именно вылавливают DoH. Решает то, что происходит после того, как выловили. Заблокированный DoH почти никогда не выглядит как отказ. Браузеры по умолчанию используют защищённый DNS в мягком режиме: не вышло — тихо откатываемся на системный резолвер и идём дальше. Пользователь не видит ошибки, страница открывается, всё работает. Просто запросы снова открытым текстом. И снова видны. То есть шифрование никто не взламывает. Клиенту создают условия, в которых он отказывается от него сам, без единого сообщения об ошибке. Жёсткий режим, который в такой ситуации честно падает и говорит «не могу», у большинства выключен, и включать его никто не побежит. Контур намедни писал про доступ внутрь защищаемого контура: сломайте человека внутри системы — и больше ломать ничего не придётся, вы уже внутри. Логика ровно та же, только вместо человека здесь настройка по умолчанию. Самое слабое звено не в криптографии, а в поведении при отказе. Теперь про то, чего DoH никогда не давал, — а то из него уже слепили щит. Даже с зашифрованным DNS оператор видит адрес, куда вы пошли, и имя сайта в открытом поле TLS-рукопожатия. Спрятать это имя должно отдельное расширение. Но соль вот в чём: параметры для него клиент забирает специальной DNS-записью. Через DNS. Ломается разрешение имён — не работает и шифрование имени. Одно тянет за собой другое, и убрав нижний слой, вы обесцениваете верхний. Так что интерес к DoH — не про сам DoH. И отдельно. К белым спискам и шатдаунам всё это отношения не имеет вообще. DoH влияет на то, видит ли оператор ваш запрос, и никак не влияет на то, дойдёт ли трафик. Семьдесят семь регионов с белыми списками останутся семьюдесятью семью при любом резолвере. Практическое — для тех, у кого сети на руках. Проверьте, куда ваши машины ходят за именами прямо сейчас. Вполне возможно, полгода назад вы настроили защищённый резолвер, а последние дни всё ездит через провайдерский, и вы об этом не знаете. Есть свой узел — держите свой рекурсивный резолвер внутри контура. Для полевой сети это правильно и безо всякой политики: разрешение имён не должно зависеть от сервера, который живёт за вашим каналом связи и вне вашего управления. И проверьте, что критичное поднимается по адресам, а не только по именам. Резолвер — единая точка отказа, о которой вспоминают ровно в тот момент, когда она уже отказала. Локальная зона, статические записи, hosts — некрасиво, зато работает тогда, когда не работает ничего. DoH был компромиссом. Не анонимностью, а способом не отдавать историю своих запросов первому встречному на пути. Похоже, компромисс закрывается. И закрывается не запретом, а тем, что ваша техника соглашается на это сама. У кого на операторских сетях уже отвалились сторонние резолверы? Communicatio est victoria. — Душнила t.me/zas_svo vk.com/zas_svo #связь #DNS #блокировки #интернет