https://hangyan.github.io/tags/%E7%BD%91%E7%BB%9C/Recent content in 网络 on 涯余的博客Hugozhhang.yan@hotmail.com (涯余)hang.yan@hotmail.com (涯余)Thu, 04 Apr 2019 20:56:03 +0800https://hangyan.github.io/post/2019-04-04-more-secure-dns/Thu, 04 Apr 2019 20:56:03 +0800hang.yan@hotmail.com (涯余)https://hangyan.github.io/post/2019-04-04-more-secure-dns/<!-- toc --> <ul> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#%e4%b8%bb%e8%a6%81%e9%97%ae%e9%a2%98">主要问题</a></li> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#%e8%a7%a3%e5%86%b3%e6%96%b9%e6%b3%95">解决方法</a> <ul> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#%e4%bd%bf%e7%94%a8%e5%8f%97%e4%bf%a1%e4%bb%bb%e7%9a%84dns%e8%a7%a3%e6%9e%90%e6%9c%8d%e5%8a%a1%e5%99%a8">使用受信任的 DNS 解析服务器</a></li> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#doh">DoH</a></li> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#qname-minimization">QNAME minimization</a></li> </ul> </li> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#%e5%85%b6%e4%bb%96%e9%97%ae%e9%a2%98">其他问题</a></li> <li><a href="https://hangyan.github.io/post/2019-04-04-more-secure-dns/#links">Links</a></li> </ul> <!-- tocstop --> <p>HTTPS 已经越来越普及了，包括 Github Pages 都可以很方便的集成。浏览器也开始通过各种手段来促进网站都尽量使用 HTTPS。相比来说， DNS 的安全性受重视的程度就没那么高。Firefox 写了一个一篇非常好的介绍文章(见最后 Links)，系统性地介绍了当前的问题以及解决方案。在这里整理一下。</p> <h2 id="主要问题">主要问题</h2> <p>DNS 协议主要交流的信息就两个：ip 和 domain, 这两个东西一般来说，很不起眼，但是漏洞(非安全协议)摆在这，总会有各种不法分子来作恶。目前我能想到的比较明显的两个就是</p> <ul> <li>运营商劫持： 一个不靠谱的运营商，在各个网站插入各种恶心的广告, 重定向网址等</li> <li>不安全的公共网络: 比如公共场所的 wifi, 可以伪造各种网站，收集用户的上网记录等等</li> </ul> <p>火狐也在文章中写出了 dns 查询过程中可能出现的安全漏洞：</p> <p><img loading="lazy" src="https://hacks.mozilla.org/files/2018/05/03_04-768x383.png"></p> <p>主要有三个</p> <ol> <li>不可靠的本地 dns 服务器</li> <li>中间人攻击</li> <li>一些根域名服务器能追踪你的解析记录。</li> </ol> <h2 id="解决方法">解决方法</h2> <p>这几个问题，火狐都列出了解决方法。</p> <h3 id="使用受信任的-dns-解析服务器">使用受信任的 DNS 解析服务器</h3> <p>一般用户，包括互联网从业者，都不太关心本地配置的 dns 服务器是什么,一般都是运营商默认的。一般人也没有精力(能力)在出问题的时候去根运营商协调解决。火狐的思路是在用户使用浏览器的时候（不干涉其他程序），选择火狐信任的 dns 服务器来进行 dns 查询（可配置为失败时 fallback 到机器默认的）。目前火狐是和 cloudflare 合作，由 cloudflare 来提供域名解析服务，未来应该会有更多的提供商。</p> <p>目前的 Firefox 66 版本已经支持了此选项（不一定是最早支持版本）,可以在 <code>about:config</code> 里面搜索 <code>trr</code> 查询到:</p>