Firefox begint uitrol DNS over HTTPS onder Amerikaanse gebruikers
Vandaag begint Mozilla bij Amerikaanse Firefoxgebruikers met het inschakelen van DNS over HTTPS (DoH). Standaard zal er gebruik worden gemaakt van de dns-servers van internetbedrijf Cloudflare, maar het is ook mogelijk om NextDNS of een eigen dns-provider die DoH ondersteunt te kiezen.
Standaard worden dns (domain name system)-verzoeken, waarmee de browser het adres van een website opvraagt, onversleuteld verstuurd. "Omdat er geen versleuteling is, kunnen apparaten onderweg deze data verzamelen, blokkeren of aanpassen. Dns-lookups worden naar servers gestuurd die je surfgedrag kunnen bespioneren zonder dat ze je hierover informeren of dat ze duidelijk maken wat ze met die informatie doen", zegt Mozillas Selena Deckelmann.
DNS over HTTPS versleutelt dns-verzoeken van internetgebruikers, zodat die niet meer zijn in te zien of aan te passen. Deze verzoeken bevatten namelijk informatie over de gebruiker en de website die hij opvraagt. Mozilla noemt het gebruik van DoH een belangrijke maatregel om de privacy en security van gebruikers te beschermen. Er wordt daarbij gewezen naar Amerikaanse providers die gegevens van hun klanten verkopen, dns manipuleren om advertenties te injecteren en browsegedrag verzamelen om gerichte advertenties te tonen.
Er is dan ook besloten om DoH als eerste onder Amerikaanse Firefoxgebruikers uit te rollen. Gebruikers buiten de Verenigde Staten kunnen de optie zelf inschakelen via het instellingenmenu van de browser. Mozilla is nu aan het kijken om DNS over HTTPS ook in andere gebieden in te schakelen en is van plan om meer DoH-providers aan het programma toe te voegen.
In ieder geval handig om doH ook UIT te kunnen schakelen. Onder tor bijvoorbeeld.
Heel ijverig is het debiele broertje van Google.
Heel ijverig is het debiele broertje van Google.
Hoewel Cloudflare ook aan cencuur doet, wordt The Piratebay door Nederlandse ISP's geblokkeerd op IP basis. Daar heeft Cloudflare geen invloed op...
Heel ijverig is het debiele broertje van Google.
Heel ijverig is het debiele broertje van Google.
Hoewel Cloudflare ook aan cencuur doet, wordt The Piratebay door Nederlandse ISP's geblokkeerd op IP basis. Daar heeft Cloudflare geen invloed op...
Wel grappig dat oa Coudflare alsook Google en Amazon servers vaak de dns-resolvers van TOR exit-nodes zijn. Dus eigenlijk houden deze gehate partijen praktisch ook netneutraliteit, anonimiteit, en vooral decentralisatie in stand. Met terugwerkende kracht erg nobel van ze.
Laat dit de eindconclusie in het hele verhaal zijn.
Hier speelt dat niet of zo goed als niet, vandaar dat er in Europa wat vreemd wordt opgekeken van DoH. Ik vertrouw mijn ISP (xs4all) op dit moment veel meer dan cloudflare of de andere DoH providers. Eigenlijk wil ik zelf gewoon de volledige DNS chain volgen, maar daar wordt de internet beleving niet echt sneller van, nog afgezien van de mogelijkheid bij xs4all tot beperkte DNS malware filtering. Ik ga dus zeker DoH hier in huis niet aanzetten.
Dat is waar DNSSEC natuurlijk voor bedoelt is: je kunt zelf controleren of wat je ontvangen hebt correct is, onafhankelijk van waar de gegevens vandaan komen.
- canary domain aangemaakt in Windows AD zoals beschreven in https://support.mozilla.org/en-US/kb/canary-domain-use-application-dnsnet.
- gevalideerd dat mijn OS het DNS record "use-application-dns.net" kan resolven tot een A record zoals beschreven.
Interne domeinen niet bereikbaar.....
Werk aan de winkel...
- canary domain aangemaakt in Windows AD zoals beschreven in https://support.mozilla.org/en-US/kb/canary-domain-use-application-dnsnet.
- gevalideerd dat mijn OS het DNS record "use-application-dns.net" kan resolven tot een A record zoals beschreven.
Interne domeinen niet bereikbaar.....
Werk aan de winkel...
Ook geprobeerd het A record voor use-application-dns.net weg te halen, mocht ook niet baten na een DNS flush.
Ik kwam de volgende opmerking tegen op bugzilla: https://bugzilla.mozilla.org/show_bug.cgi?id=1614751
Het canary domein is dus wat misleidend en zorgt er dus niet voor dat DoH een fallback doet naar legacy.
De gevonden oplossing was om het bestand "C:\Program Files\Mozilla Firefox\defaults\pref\firefox.js" aan te maken met de inhoud: pref("network.trr.excluded-domains", "xxx.nl");
Dit losde het probleem op.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
