Microsoft объявила, что поддержка DNS-over-HTTPS (DoH) теперь доступна в Windows 10 Insider Preview Build 19628 в Fast Ring.

Благодаря включению поддержки DoH в Windows Microsoft намерена повысить безопасность и конфиденциальность своих пользователей в Интернете, шифруя их DNS-запросы и автоматически удаляя доменные имена в виде простого текста, обычно присутствующие в незащищенном веб-трафике.

«Если вы не ожидали этого и задаетесь вопросом, что такое DoH, учтите, что эта функция изменит способ подключения вашего устройства к Интернету и находится на ранней стадии тестирования, поэтому продолжайте работу, только если вы уверены, что готовы», — отметили в Microsoft.

Хотя поддержка DoH появилась в выпуске Windows 10 Insider Preview Build 19628, она не включена по умолчанию.

Чтобы активировать встроенный клиент DoH, необходимо выполнить следующую процедуру:

• открыть Registry Editor;
• перейти в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters registry key;
• создать новое значение DWORD с именем «EnableAutoDoh»;
• установить значение 2.

После активации клиента Windows автоматически начнет шифровать запросы DNS, если используется один из этих серверов DNS с поддержкой DoH:



«Windows можно настроить для использования любого из этих IP-адресов в качестве DNS-сервера через панель управления или приложение «Настройки», — объясняет Microsoft. — «При следующем перезапуске службы DNS мы начнем использовать DoH для связи с этими серверами вместо классического DNS через порт 53. Самый простой способ запустить перезапуск службы DNS — это перезагрузить компьютер».

Чтобы добавить свои собственные настраиваемые DNS-серверы с помощью панели управления Windows, необходимы следующие действия:

• перейти в Сеть и Интернет -> Центр управления сетями и общим доступом -> изменить настройки адаптера;
• щелкнуть правой кнопкой мыши соединение, к которому хотите добавить DNS-сервер, и выбрать Свойства;
• выбрать «Протокол Интернета версии 4 (TCP/IPv4)» или «Протокол Интернета версии 6 (TCP/IPv6)» и нажать «Свойства»;
• убедиться, что выбран переключатель «Использовать следующие адреса DNS-серверов», и добавить адрес DNS-сервера в поля ниже.

Проверить, выполняет ли клиент Windows DoH свою работу, можно с помощью утилиты PacketMon для проверки трафика, поступающего в Интернет через порт 53. После включения DoH такого трафика практически не будет.

Для проверки нужно открыть окно командной строки или PowerShell и выполнить следующие команды, чтобы сбросить фильтры сетевого трафика PacketMon, добавить фильтр трафика для порта 53 (порт, используемый для незашифрованных DNS-запросов) и начать регистрацию трафика в реальном времени.

Microsoft также предоставляет инструкции о том, как протестировать клиент DoH, вручную добавив DNS-серверы с поддержкой DoH, которых нет в списке автоматического продвижения по умолчанию.

Mozilla уже развернула DNS-over-HTTPS по умолчанию для всех пользователей Firefox из США с 25 февраля. Им предлагали выбрать одного из двух доверенных резолверов DoH: Cloudflare или NextDNS. Впоследствии выяснилось, что при аудите безопасности Cloudflare были выявлены проблемы. Например, он показал, что некоторые анонимные данные хранятся в журналах в течение неопределенного времени.

Google также в настоящее время запускает ограниченную пробную версию DoH на всех платформах (кроме Linux и iOS), начиная с выпуска Chrome 79. Однако, в отличие от Mozilla, Google не будет автоматически менять провайдера DNS, а вместо этого будет обновлять протокол разрешения DNS только в Chrome, если провайдер DNS по умолчанию поддерживает DoH.

Microsoft объявила о развертывании DNS-over-HTTPS осенью. Тогда сообщалось, что Windows DNS должна быть настолько частной и функциональной, насколько это возможно по умолчанию; пользователи и администраторы должны руководствоваться настройками DNS, даже если они еще не знают, что такое DNS; они должны иметь возможность улучшить свою конфигурацию DNS с помощью как можно меньшего количества простых действий; должны иметь возможность отказа от зашифрованного DNS после его настройки.

См. также:

• «DNS-over-HTTPS и риски для персональных данных — обсуждаем мнения экспертов»
• «Как послать провайдера подальше, и включить DNS по HTTPS в любом браузере»
• «DNS по HTTPS – половинчатое и неверное решение»