DNS over HTTPS

✍ dations ◷ 2025-07-07 18:06:46 #域名,互联网域名,密码学

DNS over HTTPS(缩写:DoH)是一个进行安全化的域名解析方案。其意义在于以加密的HTTPS协议进行DNS解析请求,避免原始DNS协议中用户的DNS解析请求被窃听或者修改的问题(例如中间人攻击)来达到保护用户隐私的目的。Google及Mozilla基金会正在测试此协议,提高网络安全性。

目前,该方案由IETF支持,其规范文档以 RFC 8484 的名义发布。2018年9月5日发布的Firefox 62正式版加入了这项功能,但需要用户手动开启。

DNS over HTTPS利用HTTP协议的GET命令发出经由JSON等编码的DNS解析请求。较于传统的DNS协议,此处的HTTP协议通信处于具有加密作用的SSL/TLS协议(两者统称作HTTPS)的保护之下。但是,由于其基于HTTPS,而HTTPS本身需要经由多次数据来回传递才能完成协议初始化,其域名解析耗时较原DNS协议会显著增加。

基于HTTPS的DNS是尚在提议阶段的标准,由IETF以RFC 8484(2018年10月)发布。它使用HTTP / 2和HTTPS,并支持有线格式DNS响应数据,如现有UDP响应中所返回的,在具有MIME类型application / dns-message的HTTPS有效负载中。如果使用HTTP / 2,服务器也可以使用HTTP / 2服务器推送来发送它预期客户端可能提前发现有用的值。

传统的DNS协议形成于互联网早期,直接基于UDP或TCP协议,且彼时未虑及现代安全性的需要,未利用密码学等手段进行加密或验证。因而,其无法抵御现代互联网常见的DNS投毒污染等攻击手段或监听。虽然后来的DNSSEC方案通过电子签名进行验证,强化了DNS的安全性,并能够抵御DNS投毒污染等篡改通信的手段,但其对于中间网络设备进行的监听仍然没有抵御能力(随后,监听者可以通过获取的通信数据知晓用户访问了哪一域名,而域名往往与具体的网站相关系)。此外,DNSSEC的起效要求现有的大量DNS解析服务的提供商(常为互联网服务提供商或第三方大型互联网机构)对已有的DNS服务器进行大范围修改等问题,其推进进程并不理想。而对于DNS over HTTPS,在正确部署服务端并妥善配置客户端的前提下,互联网服务提供商或其它中间网络设备无法解密(亦即无法获知请求的实际内容)或者篡改已经加密的HTTPS通信,故其能够有效保护互联网用户的安全及隐私;另一方面,其基于已经成熟并已广泛部署的HTTPS协议,客户端进行利用较为方便。

DNS over https用于DNS解析器的递归DNS解析。 解析器(DoH客户端)必须能够访问托管查询端点的DoH服务器。基于HTTPS的DNS缺乏操作系统的本机支持。 因此,希望使用它的用户必须安装附加软件。 三种使用场景很常见:

1.在应用程序中使用DoH实现:某些浏览器具有内置的DoH实现,因此可以绕过操作系统的DNS功能来执行查询。 缺点是应用程序可能无法通过错误配置或缺乏对DoH的支持来通知用户是否跳过DoH查询。

2.在本地网络中的名称服务器上安装DoH代理:在此方案中,客户端系统继续使用传统(端口53或853)DNS来查询本地网络中的名称服务器,然后通过到达来通过DoH收集必要的回复 互联网中的DoH服务器。 此方法对最终用户是透明的。

3.在本地系统上安装DoH代理:在此方案中,操作系统配置为查询本地运行的DoH代理。 与前面提到的方法相反,需要在希望使用DoH的每个系统上安装代理,这可能需要在更大的环境中付出很多努力。

4.为操作系统安装DoH解析插件

在所有这些方案中,DoH客户端不直接查询任何权威名称服务器。 相反,客户端依赖于使用传统(端口53或853)查询的DoH服务器来最终到达权威服务器。 因此,DoH不具备端到端加密协议的资格,只有逐跳加密且仅在始终使用DNS over TLS时才有资格。

DNS over HTTPS 功能已由部分公共DNS支持。列表如下:

https://1.1.1.1/dns-query
https://1.0.0.1/dns-query
https:///dns-query
https:///dns-query
https:///dns-query
https:///dns-query
https://security.cloudflare-dns.com/dns-query
https://family.cloudflare-dns.com/dns-query

https://dns.google/resolve
https:///dns-query
https:///dns-query

https://223.6.6.6/dns-query
https:///dns-query
https:///dns-query

https://dns9.quad9.net/dns-query
https://dns10.quad9.net/dns-query
https://dns11.quad9.net/dns-query

https://doh.familyshield.opendns.com

成人内容


设置好后,在地址栏输入 about:networking 可以看到具体通信情况



2019年11月17日,一篇在微软官方博客释出的博文宣布,Windows 将支持 DNS over HTTPS(DoH),以加密 DNS 流量保护用户隐私。

相关

  • 乐昌乐昌市是中国广东省韶关市下辖的一个县级市,位于韶关市北部,是广东省最北面的县级行政区,北与湖南省宜章、汝城两县交界。夏、商朝为扬州之域,春秋时属越,战国时属楚,秦朝时属南海
  • 怡保怡保(马来语:Ipoh,泰米尔语:ஈப்போ),是马来西亚霹雳州的首府,隶属于怡保市政厅。其面积为643平方千米,人口于2010年为737,861。该市西北临江沙,东临金马仑高原,南临金宝,西南临华都
  • 业部业部,是为简体字部首之一,归于五画部首当中。業的简体。
  • 何永何永(1898年-1988年),字文远,企业家,生于日治台湾台南州台南市安平,为何传之弟、永丰余集团共同创办人、文英基金会创办人。何永之父为何皆来,其兄何传。何永在家排行第三,其弟何义。
  • 梯雷根梯雷根(约公元前2120年前后在位)(英语:Tirigan)古提国王。在位时期为乌鲁克击败,他本人被俘获,受到侮辱。他的失败结束了古提的统治,也让他自己成为古提时期在位时间最短的帝王。
  • 凯斯纽荷兰环球凯斯纽环球(CNH Global)是一家在农业机械和建筑机械行业运营的全球性公司。CNH业务范围包括综合工程、制造、在五大洲进行营销和设备分销。CNH业务集中在三个业务部门:农业机械
  • 池文一池文一(지문일,1988年2月18日-),出生于中国吉林省延边州延吉市,朝鲜族,足球运动员。现效力于河北华夏幸福,司职守门员。2003年,池文一作为延边的主力门将,帮助球队夺得城运会冠军,从而
  • 蛞蝓科蛞蝓科(Limacidae)是腹足纲下的一个科,包含12个属、超过50种蛞蝓。其下生物广泛分布于古北区西部。与阿勇蛞蝓科、嗜黏液蛞蝓科的生物一样,该科的蛞蝓主要以真菌和腐叶为食。以
  • 热电堆热电堆是一种能把温差和电能相互转化的元件。当热电堆的两边出现温差时,会产生电流,可用于测量温度。反之,通以电流,其两面会产生温差,也有专门利用其冷端的器件,称“半导体制冷片
  • 小柳站 (青森县)小柳站(日语:小柳駅/こやなぎえき  */?)是一个位于日本青森县青森市,由青森铁道(青い森鉄道)经营的青森铁道线沿线车站,当筒井站于2014年开业前,本站与邻站矢田前站皆均为线内最迟