APNIC文摘— DoH是對的嗎?

本APNIC文摘原標題為DoH the right thing,由APNIC資深研發科學家George Michaelson撰文。

DoH的強力支持者兼主要推手Mozilla基金會,今年1月4日剛結束FireFox瀏覽器使用DoH的公眾意見徵詢。1月14日,美國國家安全局(National Security Agency,NSA)也針對DNS over HTTPS(DoH)發布建議報告,DoH因此再度被推上風口浪尖,成為網路社群討論焦點。本文簡介NSA建議內容,也說明建議報告引發的社群反應。文章目的並非判定DoH的好壞,而是從眾人反應理解DoH對不同使用者的意義。

NSA文件中對DoH提出的建議,最簡化而言,是建議企業使用者僅於公司網路內部啟用DoH。作者認為,文件並未斷言DoH為「惡」,而是提醒讀者DoH可能過度預設DoH查詢的目標對象,所以使用者在啟用DoH前應考慮周全,最好只在值得信任的本地網路中使用DoH。

有些人可能認為,DoH就是要保護網際網路上,也就是不同網路之間的傳輸隱私,在本地網路使用有何意義?但作者提醒,「本地網路一定安全」的假設其實大有風險,惡意人士潛伏於本地網路、偷窺內部訊務的案例也越來越多。也因此,作者認為NSA「於本地網路使用DoH」的建議並非沒有可取之處。

既然如此,為何網路社群對NSA文件的反應正反不一?作者舉出兩個主要原因:一是NSA的身份導致有些人對建議內容存疑,另一個原因,則是此建議可能波及那些原始目的就是躲避本地網路限制的DoH使用者。

作者解釋,許多質疑聲音並非反對建議本身,而是不信任提出建議的NSA。幾年前,NSA被發現故意在某個美國國家標準暨技術研究院(National Institute of Standards and Technology,NIST)核定、市面上也廣泛使用的加密運算法中植入弱點,藉此竊聽和蒐集情報。此事揭露後,NIST的公信力一落千丈,對所有不是美國人的人而言,NSA既然可為了貫徹美國利益無所不用其極,這個單位發布的所有建議都不得不引人三思:這是否又是NSA為了自家利益設計的圈套?

或許不能怪這些人過於小心謹慎,但作者認為NSA這次提出的建議不宜以人廢言。「在內部網路使用DoH」的確能防範近來益發常見的內部網路駭侵事件,而「外部網路的DoH供應商可能並非想像中值得信任,授權他人代理改動DNS查詢也不一定對你有利」的建議也很正確。但對某些人而言,他們需要的正是DoH這種特性。

到底誰需要DoH?他們為什麼使用DoH?DoH可以將使用者的DNS訊務轉至HTTPS上傳送,藉此避開兩種情況:針對特定查詢的封鎖機制,以及中間人攻擊。所以有些人使用DoH可能只是為了保護隱私,但對另一些人而言,他們使用DoH是為了躲過針對性的封鎖機制。

在機場或旅館裡,常會碰到需要先從登錄頁面輸入資訊或付錢,才能繼續使用的網路。這就是一種利用DNS的封鎖機制。這種時候你或許會想要使用DoH,避免旅館收費後還持續監視你的DNS訊務。中國的網路長城是另一種大家都熟知的封鎖情境,而在「牆內」的人如欲取得被封鎖的服務,很可能就需要DoH的協助。

至於開頭為什麼要提到Mozilla的公眾意見徵詢? 作者在結尾繞回來,說明Mozilla作為DoH中介者,可以決定Mozilla的產品(如FireFox和Thunderbird)使用者怎麼用DoH。他們希望使用者能參與討論,共同決定DoH的預設方式、使用者可以調整哪些設定等。很顯然,Mozilla提供的服務和NSA的建議扞格不入,而由瀏覽器提供DoH服務,也一直被網路維運社群視為一大風險。

無論對DoH的意見為何,唯一可以肯定的,是在「保護隱私」和「打倒巨頭」兩大口號領軍的當代網路治理討論中,DoH將持續成為各方激辯的重要議題。

*台灣網路資訊中心(TWNIC)與亞太網路資訊中心(APNIC)合作,定期精選APNIC Blog文章翻譯摘要,提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為DoH the right thing

回到頂端