Vlákno názorů k článku
Mozilla chce zapnout DoH všem, vyzývá k připomínkování od nettreg - Mně osobně přijde nebezpečnější, když má moc sledovat...

Mně osobně přijde nebezpečnější, když má moc sledovat a případně cenzurovat jeden centralizovaný poskytovatel DOH (byť slíbí, že to dělat nebde), než když ji mají lokální ISP. Je to jen větší koncentrace moci.

Souhlasím, že koncentrace je rozhodně na škodu. Na druhou stranu je třeba si taky uvědomit, že takový velký poskytovatel je pod podrobnou veřejnou kontrolou a kdyby něco resolvoval chybně (záměrně či chybou), rychle se na to přijde. Takový poskytovatel DNS resovleru navíc není pevně určen, ale je možné ho změnit.

Rozhodně se mi ale víc líbí přístup DNS-over-TLS, který přidává tu šifrovací vrstvu a není nutně spojen s přechodem k jednomu velkému poskytovateli. Chrome třeba jen testuje, jestli používaný resolver umí DoT a přejde na něj. Zůstane ale u stejného resolveru, jaký by se používal s klasickým DNS.

Celé je to nekoncepční.
O resolvování se má starat operační systém, který je v podniku nastaven podle politik, případně i samotná DNS mohou mít svoje speciální nastavení.

Je úplně na prd, že vznikne situace, kdy celý OS bude resolvovat jednou cestou, ale debilní prohlížeč jinou. Chyby se budou hledat úplně šíleně.

Vzhledem k tomu, že je zde cesta přes DNS-over-TLS, tak celý tento počin smrdí tím, že Mozilla chce mít k dispozici statistiky. Uživatelé se mohou zbláznit, když chce nějaký program odesílat telemetrii - tak asi doufají, že touto cestou ji získají a ještě jim lidi zatleskají.

Mozilla je pod veřejnou kontrolou, ale zjevně je to moc netrápí. Jakmile se toto jednou zavede jako standard, přijdou s tím i další prohlížeče, které se už chovají čistě komerčně. Mozilla poslouží jako užitečný blbeček, který prosadí to, z čeho ostatní získají.

O resolvování se nikdy nestaral operační systém, vždy to byla jen knihovna. Když dodavatelé těch knihoven zaspali a neposkytují potřebnou funkcionalitu, tak si to holt prohlížeče implementovaly samy.

A ta konspirační teorie o získávání statistik… Co by tím kdo asi získal?

O resolvování se nikdy nestaral operační systém, vždy to byla jen knihovna.

To už je jen slovíčkaření. Podstatou je, že se o to má starat operační systém (nebo jeho knihovna) a napříč celým systémem to má fungovat a být spravováno jednotně.

Když dodavatelé těch knihoven zaspali a neposkytují potřebnou funkcionalitu, tak si to holt prohlížeče implementovaly samy.

A ta konspirační teorie o získávání statistik… Co by tím kdo asi získal?

A co získali tím, že nakoncentrují požadavky do jednoho místa, když existují i jiné možnosti (DNS-over-TLS)?

Prohlížeče už roky trpí tím, že je čím dál větší tlak na to, aby se nedaly identifikovat, rozpoznávat, ... DoH je kravský nápad, který všechny tyto snahy popře.

Stejně byste se mohl ptát, co získávají programy zasíláním anonymní telemetrie? Podle mě taky nic moc, resp. záleží na tom, jestli to někdo na druhém konci nezneužije. Je na prd, pokud existuje snaha tyto praktiky omezovat, a pak zavést takto kruciální vlastnost, která vše popře.

> O resolvování se nikdy nestaral operační systém, vždy to byla jen knihovna.

Já běhové prostředí, a v tomto případě třeba libc, považuji za součást OS.

> A ta konspirační teorie o získávání statistik… Co by tím kdo asi získal?

Co získala Cambridge Analytica? A napadlo by vás to před tím, než to někdo leaknul?

A kdyz bude debilni OS resolvovat jinak nez prohlizec?

Je to jen trolení, nebo chceš říct, že hierarchicky je prohlížeč nad systémem? Takový názor by mě nepřekvapil od někoho, pro koho internet == Facebook, ale v diskuzi na technicky zaměřeném serveru už docela jo.

Tak pravdou je, že nešifrované DNS je z pohledu důvěrnosti dat problémem. Z tohoto pohledu je návrh Mozilly pokrokem. Ale provedení by mělo vypadat tak, že by bylo možno zadat třeba 5 serverů, které se budou náhodně vybírat pro dotaz, aby nebylo možné sestavit kompletní cestování uživatele po webu.

Návrh Mozilly je krok späť.

Mozilla nevie, či operačný systém resolvuje cez 53/udp, 853/udp, DoH, LDAP, NIS, alebo poštovými holubami. Keď aplilkácia zavolá gethostbyname(), tak je od toho pekn odtienená. Správca miestnej siete vie, ako to tam funguje a nastavil politiky OS, aby zodpovedali sieti. Teraz príde Mozilla a ako slon v porceláne všetko rozbije.

Navyše to, že v lokálnej sieti sa ide 53/udp po najbližší resolver neznamená, že ten resolver ide von tak isto. Kľudne tam môže byť nejaký kresd alebo stubby, ktoré s vonkajším svetom komunikujú cez DoT/DoH, bez toho, aby o tom Mozilla vedela, resp. sa s tým musela trápiť. A ako bonus, takého riešenie nič lokálne nerozbije.

To by asi vyriesila moznost nakonfigurovania viacerych DOH poskytovatelov, kedzi ktorych by sa rozdelovali DNS dotazy podla daneho algoritmu. Ziaden DOH by teda nemal cely zoznam vasich dotazov. Odporucam pripomienkovat Mozille.