Комментарии 20
Вот интересно дальнейшее развитие событий? Придет РосКомПозор и скажет, а ну ка, Мелкософт, выпиливайте DoH, а не то заблокируем. И что произойдет? Подчинятся или будет как с Дуровым? Массовое самоубийство рунета, а потом признание собственной тупости?
И что произойдет? Подчинятся или будет как с Дуровым? Массовое самоубийство рунета, а потом признание собственной тупости?Ни то, ни другое. Для того, чтобы произошло что-то из этого нужно, чтобы Microsoft сделала DoH включённым по умолчанию. А они этого, я уверен, не сделают. И в статье об этом тоже ни слова. А если бы и сделали, то скорее как в Chrome — в приоритете провайдерские DNS-серверы, если они поддерживают DoH/DoT.
В результате РКН может тупо игнорировать эту опцию в Windows. Она мало что изменит.
Когда Mozilla внедряла одной из первых, было очень много критики. Теперь внедрили в Windows. Скоро узнаем, будут ли двойные стандарты. Возможно как с оперой, официально vpn не работает в определенных странах.
Когда Mozilla внедряла одной из первых, было очень много критикиКритика была в основном от провайдеров, продающих персональные данные пользователей, которых уже давно нужно было выпнуть с рынка, я считаю. Кроме этого была критика от администраторов, неспособных к настройке групповых политик, и «диванных» экспертов, считающих, что вирус может использовать DoH для координации, при этом забывая, что вирусы уже 100 лет как используют Твиттер и другие публичные площадки, а значит принципиально ничего не изменилось бы.
Но у DoH нет ни того, ни другого: сертификат загружать в систему не требуется, а dns-имени у сервера тоже нет, только IP-адрес (типа 1.1.1.1)
Как соединение в DoH-сервером защищено от MitM?
На микротике сертификат можно загрузить и включить его проверку.
Так что сам протокол позволяет.
Я думаю дело в том что в системе есть корневые нужные сертификаты.(насколько помню сероификаты могут быть на ip адреса тоже...вроде)
А cloudflare/Quad9 понимают, что я буду использовать сертификат для пиннинга, то есть они у себя не должны его часто обновлять, а то всем пользователям тоже придётся.
DoH вроде рекомендуют по имени подключать, это не решает проблемы первого запроса правда(он должен отрезовить это имя будет по обычному протоколу).
Но тут уже сертификат спасет от подмены.
у меня на микротике именно по имени, а не по IP.
Сертификат гугла действовать будет еще 5479 дней.(или это всего..).
Причем выпущен он не самим гуглом, а от GlobalSign Root CA — R2, то есть обновление сертификата возможно.
насколько помню сероификаты могут быть на ip адреса тоже… вродеВроде нет.
Проверил, кстати, корневой сертификат, через который проверяется 1.1.1.1 — он закончится Nov/10/2031 05:00:00.
С 8.8.8.8 всё чуть печальнее сейчас, 15 лет их корневого сертификата истекают Dec/15/2021 13:00:00.
Сейчас почти везде используются предварительно настроенные шаблоны, в которых прописаны наборы IP-адресов и домены (и, возможно, сертификаты). При указании IP-адреса в настройке DNS-over-HTTPS он просто ищется в имеющихся шаблонах.
В оригинальном посте чуть понятнее рассказано: https://techcommunity.microsoft.com/t5/networking-blog/windows-insiders-gain-new-dns-over-https-controls/ba-p/2494644
Наконец то!
На смартфоне не хотел рутовать девайс и в настройках хрома уже год как прописан финский сервер blahdns.com. Больше половины рекламы срезает.
Зачем рутовать, если с 9 андроида в настройках есть возможность указать. Жене и родителям уже давно поставил adguard DoT
А если без программы и прописать их сервер DNS то еще ничего. Но если прописать blahdns, то больше срезает. Но периодически DNS сервера то у blahdns то у adguard становятся недоступными. Поэтому переключаюсь между ними.
Не надо никаких программ вообще, только использовать их DoT
В превью Windows 11 появился DNS-over-HTTPS