Internetudbydere frygter at ny Chrome-feature forhindrer overvågning af kunder
I øjeblikket er de fleste DNS-forespørgsler ukrypterede, og det er bekymrende for både privatliv og sikkerhed.
Derfor vil Google og Mozilla gøre det muligt at sende DNS-forespørgsler i deres browsere over den krypterede HTTPS-protokol.
Version2s nye netværk for udviklere er for IT-professionelle, som vil styrke egne kompetencer, sparre med nogle af branchens dygtigste folk og deltage i netværksmøder med relevante speakers. Netværket mødes fysisk 5 gange årligt, til en spændende dag med indlæg fra én keynote, samt 1-2 sponsorer, hvor alle indlæg tager afsæt i specifikke og aktuelle emner/cases. Derudover vil deltagerne i netværket kunne mødes online, på vores Meetup gruppe, hvor der er skabt rum til vidensdeling, debatter samt deling præsentationer fra de fysiske netværkmøder. Næste møde 30. oktober: Azure infrastruktur for udviklere Læs mere her.Bliv medlem af Version2's udviklernetværk
Men det har fået en række amerikanske internetudbydere til at advare om, at Googles support til DNS over HTTPS, DoH, 'kan påvirke kritiske internfunktioner på stor skala og medføre problemer med data-konkurrence'.
Kan bruges til kontroversielle formål
Internetudbydere kan monitorere deres kunders internettrafik og for eksempel registrere, hvis der sendes forespørgsler til domæner med malware, eller blokere børn i at tilgå domæner med et seksuelt indhold.
Men det kan også bruges til mere kontroversielle formål som for eksempel målrettede annoncer. Hvis DoH bliver udbredt vil det begrænse internetudbyderne i at monitorere og ændre deres kunders forespørgsler.
Internetudbyderne vil stadig kunne se, hvilke IP-adresser kunder har besøgt.
Men fordi flere domæner kan dele IP-adresse, og domæner kan ændre IP-adresse over tid, vil internetudbyderne have sværere ved at følge med i deres kunders adfærd på internettet.
- emailE-mail
- linkKopier link

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
Fortsæt din læsning
- Sortér efter chevron_right
- Trådet debat
Har i læst <a href="https://arstechnica.com/tech-policy/2019/09/isps-worry-a-new-chrome-fea…;. artiklen ?</p>
<p>"But Google says that these concerns are groundless. Despite insinuations from telecom companies, Google says, the company has no plans to switch Chrome users to its own DNS servers."
Den her forklarer nok lidt nærmere...https://www.bleepingcomputer.com/news/security/dutch-govt-explains-the-risks-behind-dns-over-https-move/
Synes da det er positivt at kommunikationen krypteres. At man så skal vælge en udbyder, sådan har det jo altid været.. Nu har vi friheden og godt man har Firefox som længe har haft DoH funktionaliteten! Det er jo ikke værre end hvem er din https leverandør.. Hvorfor skal vi som besøgende stole på et ssl certifikat fra comodo, letsencrypt eller norton?...
Det handler om tillid.. Dog kan man gøre det ekstra at bruge en VPN forbindelse og eller tor browser, hvis man vil beskytte sig grundigt..
Her er en god opsamling af den debat der var om emnet på FOSDEM i år. Den er værd at læse, hvis man interesserer sig for DNS privacy:
https://labs.ripe.net/Members/bert_hubert/the-big-dns-privacy-debate
Jeg har et Shield TV derhjemme, som kører på Android TV. Jeg bemærkede at mit piHole ikke fik nogen forespørgsler fra boksen og kunne konstatere, at den med standard opsætning direkte bypasser alt og hopper direkte på 8.8.8.8 - uagtet DHCP opsætning over WiFi. Smed den på kablet net og specificerede manuelt pihole adressen, men det er da allerede der lidt i retning af at force noget ned over hovedet på folk. Synes jeg.
Såeh...Essensen af alle vore bekymringer besvarer Google med: "Won't be evil""But Google says that these concerns are groundless. Despite insinuations from telecom companies, Google says, the company has no plans to switch Chrome users to its own DNS servers."
Dén skal der nok være nogen der hopper på.
K
Sådan fungerer HTTPS ikke. Din browser vil afvise trafik, som ikke er signeret med et certifikat bundet til det pågældende domæne.</p>
<p>1 1
Du glemmer af det er google der har lavet browseren. altså er det også dem der bestemmer hvordan den skal overholde gældende standarter
Har i læst https://arstechnica.com/tech-policy/2019/09/isps-worry-a-new-chrome-feature-will-stop-them-from-spying-on-you/ artiklen ?
"But Google says that these concerns are groundless. Despite insinuations from telecom companies, Google says, the company has no plans to switch Chrome users to its own DNS servers."
Artiklen drejer sig om at understøtte DNS over HTTPS.
Uanset hvilken DNS man ønsker at benytte, så er det selvfølgelig et tillidsforhold, fordi man skal kunne stole på det tjenesten returnerer.
Sagen her angår om trafikken mellem klient og DNS er over HTTPS. Og det er ikke i ISPernes interesse, men formodentligt i alle privatpersoners interesse.
Som DNS leverandør får man hverken mere eller mindre info om brugernes forespørgsler ved at overgå til HTTPS. OG: Google melder ud at de ikke har planer om at centralisere eller ændre brugeres egne DNS indstillinger.
Så det er altså et dejligt tilbud, og der vil være flere leverandører om at tilbyde DNS over HTTPS, så man ikke er tvunget til at benytte Googles.
Hvis man sammenblander hvad Evil Corp, ville kunne gøre, hvis de også ændrer på andet i stakken, så bliver diskussionen noget rod.
Det er et faktum at mindst chipset producent, bios udvikler, operativ system udvikler, installatør af OS samt browser udvikler -alle i princippet har 100% adgang til hvad du foretager dig i din browser.
Mistilliden til den kæde har ikke noget med tillid til DNS med eller uden HTTPS at gøre.
Men det er korrekt at kontrol over en DNS plus mulighed for udstedelse af vilkårlige SSL certifikater eliminerer det niveau af sikkerhed som HTTPS ellers leverer.
Hvis du først har kontrol over den DNS som browseren bruger kan du gøre hvad der passer dig og alm. brugere vil aldrig opdage noget...
...du skal bare "luske" en CA med ind i browseren som vil godkende de sites som du hijacker - men how, du laver jo selv browseren så det ordner sig nok. ;-)
Men hvis du gør det i stor stil, så er der et par nørder der vil lægge mærke til det. Læg venligst mærke til at jeg skrev "i stor stil" i mit indlæg. Når først sagen ruller ... så er det slut med folks brug af Chrome.
Hvis du først har kontrol over den DNS som browseren bruger kan du gøre hvad der passer dig og alm. brugere vil aldrig opdage noget... ...du skal bare "luske" en CA med ind i browseren som vil godkende de sites som du hijacker - men how, du laver jo selv browseren så det ordner sig nok. ;-)Under alle omstændigheder vil det være ret nemt at opdage hvis det sker i stor stil. Google ville være befolket af idioter hvis de bevidst valgte at gøre den slags. Det er de ikke.
<em>Hvis du hijacker et site på DNS niveau, som der skete i Brasilien i 2012, hvad er så tilhindre for også at vise en side på ren http</em></p>
<p>Der er ingen måde at din browser vil acceptere en redirection header, når afsenderen ikke har det korrekte certifikat, såfremt trafikken er initieret via HTTPS.
Under alle omstændigheder vil det være ret nemt at opdage hvis det sker i stor stil. Google ville være befolket af idioter hvis de bevidst valgte at gøre den slags. Det er de ikke.
Hvis du hijacker et site på DNS niveau, som der skete i Brasilien i 2012, hvad er så tilhindre for også at vise en side på ren http
Der er ingen måde at din browser vil acceptere en redirection header, når afsenderen ikke har det korrekte certifikat, såfremt trafikken er initieret via HTTPS.
Din browser vil afvise trafik, som ikke er signeret med et certifikat bundet til det pågældende domæne.
Hvis du hijacker et site på DNS niveau, som der skete i Brasilien i 2012, hvad er så tilhindre for også at vise en side på ren http? Der er måske sket noget på browser fronten siden 2012 - bevares (HSTS fx).
https://nakedsecurity.sophos.com/2012/10/01/hacked-routers-brazil-vb2012/
Hvis Google rent faktisk var onde nok til at resolve ddg til en af deres egne maskiner, hvad skulle så forhindre dem i at udstede et korrekt udseende certifikat?Sådan fungerer HTTPS ikke. Din browser vil afvise trafik, som ikke er signeret med et certifikat bundet til det pågældende domæne.
Eller at redirecte HTTPS requestet til HTTP, så certifikat ikke er nødvendigt?
nej, i dag syntes vi ikke at DuckDuckGo skal være søgemaskine for dig, så du får Google selv om du skriver duckduckgo
Sådan fungerer HTTPS ikke. Din browser vil afvise trafik, som ikke er signeret med et certifikat bundet til det pågældende domæne.
Ja... hvis det var tilfældet så ville der ikke være noget problem for udbyderne. ...og det ville slet ikke give mening da det normalt er din udbyders DNS som er din DNS.Har du overvjet den mulighed af Chrome stadig benytter den DNS du benytter idag, men af den bare krypterer forbindelsen melem browser og DNS ?
Ja, men hvordan vil de så sende hele URL'en tilbage, uden brugeren kan 'se' det ved at trace på forbindelsen ?Når du bruger Chrome browseren stoler du allerede på at Google ikke indsamler hvert eneste URL du besøger.
Hvis de ville indsamle data om hvad du kigger på kunne de jo bare gøre det direkte i browseren. Så får de også hele stien med i stedet for kun domænet.
Nåeh - ja ! De sender det bare med DoH, fordi dén kommunikation kan man jo ikke afkode på et trace.
Jeg har sagt det før; DoH er en glimrende måde at "exfiltrere" information på.
K
DoH support er langt fra at være standard på DNS servere, så at den "bare krypterer forbindelsen melem browser og DNS" er nok tæt på 100% sandsynligt.
Jeg tvivler på de vil sende dig til forkerte domæner, det vil give ramaskrig.“nej, i dag syntes vi ikke at DuckDuckGo skal være søgemaskine for dig, så du får Google selv om du skriver duckduckgo”.
Men opsamling af DNS opslag, eventuelt koblet på dit brugerid? Det finder jeg ret plausibelt.
Man kan jo bruge Chromium, som i øvrigt understøtter mere end kun Cloudfare:https://www.chromium.org/developers/dns-over-httpsNår du bruger Chrome browseren stoler du allerede på at Google ikke indsamler hvert eneste URL du besøger.
Når du bruger Chrome browseren stoler du allerede på at Google ikke indsamler hvert eneste URL du besøger. Hvis de ville indsamle data om hvad du kigger på kunne de jo bare gøre det direkte i browseren. Så får de også hele stien med i stedet for kun domænet.
Næste spørgsmål er så om man TØR lade Google køre DNS for sig - det vil nemlig først give Google ret mange nye spændende muligheder: “nej, i dag syntes vi ikke at DuckDuckGo skal være søgemaskine for dig, så du får Google selv om du skriver duckduckgo”.
Min teori har altid været at 8.8.8.8 er en gigantisk aflytningscentral. Men ikke en der bruges kommercielt, men en der bruges til efterretningsformål.
I moderne android enheder kan du selv vælge en "private" dns, så det behøver ikke at være google
I Firefox findes DoH i øvrigt allerede fuldt implementeret og kan aktiveres og konfigureres via de almindelige browser-options. Det lyder som om Mozilla - i hvert fald i nogen områder - med tiden default (vil foreslå?) DoH DNS fra CloudFlare.
Hvis jeg aktiverer DoH i min Firefox er Cloudflare eneste standard mulighed, hvis jeg ikke manuelt vil konfigurere en DNS provider.
@Maciej, så vidt jeg ved vil Chrome ikke automatisk ændre DNS til at pege på Google's egne DNS servere, men bruge DoH versionen af den DNS der allerede bruges (når en sådan findes).
I Firefox findes DoH i øvrigt allerede fuldt implementeret og kan aktiveres og konfigureres via de almindelige browser-options. Det lyder som om Mozilla - i hvert fald i nogen områder - med tiden default (vil foreslå?) DoH DNS fra CloudFlare.
Næste spørgsmål er så om man TØR lade Google køre DNS for sig
Har du overvjet den mulighed af Chrome stadig benytter den DNS du benytter idag, men af den bare krypterer forbindelsen melem browser og DNS ?
...det kan blive et problem for kunderne :-D
Næste spørgsmål er så om man TØR lade Google køre DNS for sig - det vil nemlig først give Google ret mange nye spændende muligheder: “nej, i dag syntes vi ikke at DuckDuckGo skal være søgemaskine for dig, så du får Google selv om du skriver duckduckgo”.