DNS sobre HTTPS ( DoH ) es un protocolo para realizar la resolución de DNS sobre HTTPS . El propósito de este método es mejorar la privacidad y la seguridad del usuario al evitar la intercepción y manipulación de los datos DNS mediante ataques de intermediario [1] . A partir de marzo de 2018, Google y la Fundación Mozilla están probando versiones de DNS sobre HTTPS [2] [3] . Publicado por IETF en RFC 8484 en octubre de 2018.
Además de mejorar la seguridad, otro objetivo del DNS sobre HTTPS es mejorar el rendimiento: las pruebas de los solucionadores de DNS de los ISP han demostrado que, en muchos casos, dan una respuesta inesperadamente lenta, lo que puede multiplicarse aún más por la necesidad de obtener direcciones de muchos dominios, por ejemplo. ejemplo, al cargar una página web [1] .
En la versión implementada públicamente de este protocolo, Google utiliza solicitudes GET de HTTP (a través de HTTPS) para acceder a la información de DNS mediante la codificación de consulta de DNS y los parámetros de resultado representados en notación JSON [2] .
Otra especificación similar se encuentra en el estado de un proyecto de Internet bajo los auspicios de la IETF . Esta versión del protocolo utiliza los protocolos HTTP/2 y HTTPS , y la versión original admite datos de respuesta de DNS en un "formato cableado" que se devuelve en respuestas UDP existentes , en cargas útiles con HTTPS - application/dns-udpwireformat, con MIME - application/dns-udpwireformat[4] . Si se usa HTTP/2, el servidor también puede usar HTTP/2 server push para enviar valores que el cliente probablemente necesite [4] .
En julio de 2019, los especialistas de Qihoo 360 descubrieron la primera muestra de malware del mundo que utiliza el protocolo DNS sobre HTTPS [5] .
Las implementaciones de servidores DNS sobre HTTPS ya están disponibles de forma gratuita a través de algunos proveedores de DNS públicos [6] . Se proponen tres implementaciones para los servicios de producción [7] :
| Proveedor | Direcciones IP | bloqueando | Peculiaridades |
|---|---|---|---|
| llamarada de nube | 1.1.1.1 1.0.0.1 2606:4700:4700::1111 2606:4700:4700::1001 |
No | https://cloudflare-dns.com/dns-query |
| llamarada de nube | 1.1.1.2 1.0.0.2 2606:4700:4700::1112 2606:4700:4700::1002 |
contenido malicioso | |
| llamarada de nube | 1.1.1.3 1.0.0.3 2606:4700:4700::1113 2606:4700:4700::1003 |
contenido malicioso y para adultos [8] | |
| DNS público de Google | 8.8.8.8 8.8.4.4 2001:4860:4860::8888 2001:4860:4860::8844 |
No | https://dns.google/dns-query |
| LimpiezaBrowsing | 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2:: |
contenido para adultos | DNS sobre punto final HTTPS [9] |
| adguard | 176.103.130.130 176.103.130.131 2a00:5a60::ad1:0ff 2a00:5a60::ad2:0ff |
contenido publicitario | DNS sobre punto final HTTPS [10] |
| Quad9 | 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9 |
contenido malicioso | |
| DNS abierto | 208.67.222.222 208.67.220.220 2620:119:35::35 2620:119:53::53 |
No | https://doh.opendns.com/dns-query |
DNSCrypt cifra el tráfico de DNS no modificado entre el cliente y la resolución de DNS para evitar ataques de intermediarios que no pasaron el proceso RFC de IETF, mientras que DNS sobre TLS se describe en RFC 7858 .