Er du lige begyndt at bruge DNS over HTTPS (DoH)? Bare rolig! Vi har lavet en liste med ofte stillede spørgsmål, som kan hjælpe dig med at komme i gang med alt det, DoH har at byde på. For yderligere oplysninger, se Firefox DNS over HTTPS.

Sådan virker DNS over HTTPS for Firefox-brugere i områder, hvor vi har udrullet DoH som standard

Hvad er privatlivspolitikken for DNS over HTTPS?

Implementering af DoH er en del af vores arbejde med at beskytte brugere mod den omfattende onlinesporing af personlige data. For at gøre det kræver Mozilla, at alle DNS-udbydere, der kan vælges i Firefox, overholder vores resolver-politik via en juridisk bindende kontrakt. Disse krav sætter strenge grænser for, hvilken type data der må gemmes, hvad udbyderen kan gøre med disse data, og hvor længe de må gemme dem. Denne strenge politik er beregnet til at beskytte brugere mod, at udbydere kan indsamle og tjene penge på deres data.

Vil brugere blive advaret, når dette er aktiveret, og få mulighed for at fravælge det?

Ja, der vises en meddelelse i Firefox, som ikke forsvinder, før brugeren har truffet en beslutning om at aktivere eller deaktivere beskyttelse af DNS-privatliv.

Vil brugere kunne deaktivere DoH?

Ja, de kan deaktivere DoH, vælge deres egen DoH-udbyder og foretage andre konfigurationsændringer fra panelet Privacy & Security i Firefox' indstillinger, som forklaret i artiklen Konfigurer beskyttelsesniveauer for DNS over HTTPS i Firefox.

Kan brugere fravælge det på forhånd?

Ja, du kan manuelt indstille network.trr.mode til 5 i [[Configuration Editor for Firefox|about:config]]. Yderligere oplysninger om tilstandene kan findes her.

Hvordan vil DoH påvirke virksomheder med brugerdefinerede DNS-løsninger?

Vi har gjort det nemt for virksomheder at deaktivere denne funktion. Derudover vil Firefox registrere, om der er angivet virksomhedspolitikker på enheden, og vil deaktivere DoH under disse omstændigheder. Hvis du er systemadministrator og er interesseret i at lære, hvordan du konfigurerer virksomhedspolitikker, kan du gennemgå dokumentationen.

Hvordan vil DoH påvirke forældrekontrol?

Vi ved, at nogle internetudbydere (ISP'er) bruger DNS til at tilbyde en forældrekontroltjeneste, der blokerer voksenindhold. Mozillas holdning er, at DNS ikke er den bedste tilgang til forældrekontrol, men vi ønsker heller ikke at ødelægge eksisterende tjenester, så vi tjekker en række kanariedomæner, før vi aktiverer DoH. Hvis disse domæner indikerer, at forældrekontrol er slået til, deaktiverer vi DoH. For yderligere oplysninger, se dette blogindlæg fra Mozilla.

Kan netværk ikke bare udløse kanariedomænetjekket hele tiden og deaktivere DoH?

Ja, kanariedomæner er en løsning, der giver den bedste sikkerhed til at bekæmpe netværksangribere og forhindre, at eksisterende implementeringer går i stykker. Vi vil overvåge deres brug, undersøge eventuelle tilfælde af misbrug og se på foranstaltninger til at inddæmme disse hændelser.

Vil DoH ødelægge Content Delivery Networks (CDN'er)?

Vi er klar over, at nogle CDN'er bruger DNS-baseret trafikstyring, som kan blive påvirket af DoH. Vores målinger viser dog, at DoH-sideindlæsningstider er konkurrencedygtige sammenlignet med almindelige DNS-sideindlæsningstider. Under og efter udrulningsperioden vil vi overvåge Firefox' ydeevne for at se, om der er nogen fejl.

Hvordan håndterer Firefox split-horizon DNS?

Hvis Firefox ikke kan opløse et domæne via DoH, vil den falde tilbage til DNS. Det betyder, at alle domæner, der kun er tilgængelige på den almindelige DNS (fordi de ikke er offentlige), vil blive opløst på den måde. Hvis du har et domæne, der er offentligt opløseligt, men som opløses anderledes internt, skal du bruge virksomhedsindstillinger til at deaktivere DoH.

Validerer I DNSSEC?

DNSSEC sikrer, at DNS-svar ikke er blevet manipuleret undervejs, men krypterer ikke DNS-forespørgsler og -svar. Vi har prioriteret kryptering af DNS ved hjælp af DoH for at beskytte brugernes privatliv. Vi overvejer at implementere DNSSEC i fremtiden.

DNS over HTTPS-partnerskaber

Hvilken resolver vil Firefox bruge?

I hvert land, hvor vi lancerer DoH, vil vi have en standard-resolver (fx i USA er standard-resolveren Cloudflare). Brugere kan alternativt vælge fra en liste over yderligere udbydere i vores Trusted Recursive Resolver-program, som kræver overholdelse af vores politiske krav vedrørende brugerens privatliv og sikkerhed. Med tiden forventer vi at tilføje flere udbydere til vores Trusted Recursive Resolver-program. Derudover er vores vision, at DoH bliver universelt vedtaget og understøttet af alle DNS-resolvere.

Hvordan vælger Mozilla sine betroede resolvere?

Vores standard-resolvere er i stand til at opfylde de strenge politiske krav, som vi i øjeblikket har på plads. Disse krav er bakket op af juridisk bindende kontrakter og offentliggøres i førsteklasses meddelelser om beskyttelse af personlige oplysninger, der dokumenterer disse politikker og giver gennemsigtighed for brugerne.

Bliver Mozilla betalt for at dirigere DNS-forespørgsler til sine standard-resolvere?

Der udveksles ingen penge for at dirigere DNS-forespørgsler til vores standard-resolver-partnere.

Tjener Mozilla eller dets standard-resolvere penge på disse data?

Nej, vores politik forbyder udtrykkeligt at tjene penge på disse data. Vores mål med denne funktion er at give vores brugere vigtig beskyttelse af privatlivets fred og at gøre det sværere for eksisterende DNS-resolvere at tjene penge på brugernes DNS-data.

Mere om Firefox' implementering af DNS over HTTPS

Hvad er jeres udrulningsplan?

Vi udrullede DoH som standard i USA i 2019, i Canada i 2021 og i Rusland og Ukraine i marts 2022. Vi er i øjeblikket i planlægningsfasen for standardudrulninger til yderligere områder.

Udruller I dette som standard i Europa?

Som en del af vores fortsatte strategi med omhyggeligt at måle fordelene og virkningen af DoH har vi indtil videre kun frigivet denne funktion som standard i Rusland, Ukraine samt USA og Canada.

Hvorfor implementerer Firefox DoH og ikke DoT?

IETF har standardiseret to DNS over sikre transportprotokoller: DNS-over-TLS (DoT) og DNS-over-HTTPS (DoH). Disse to protokoller har stort set ens sikkerheds- og privatlivsegenskaber. Vi valgte DoH, fordi vi mener, at det passer bedre til vores eksisterende modne browser-netværksstak (som er fokuseret på HTTP) og giver bedre understøttelse af fremtidige protokolfunktioner som HTTP/DNS-multipleksing og QUIC.

Er DoT lettere for netværksoperatører at opdage og blokere?

Ja, og vi mener ikke, at det er en fordel. Firefox giver mekanismer, så netværksoperatører kan signalere, at de har legitime grunde til, at DoH skal deaktiveres. Vi mener ikke, at blokering af forbindelsen til resolveren er en passende reaktion.

Lækker Server Name Indication (SNI) ikke domænenavne alligevel?

Ja, selvom ikke alle domænenavne lækkes via SNI, er vi bekymrede for SNI-lækager og er begyndt at arbejde på Encrypted SNI.

Hvad er DoH-heuristik?

Dette er et sæt kontroller, som Firefox udfører, før DoH aktiveres som standard for brugere i udrulningsregionerne, for at se, om aktivering af DoH vil have en negativ indvirkning. (Disse kontroller ignoreres, hvis du eksplicit har aktiveret DoH.) For eksempel vil DoH forblive deaktiveret, hvis virksomhedspolitikker eller forældrekontrol er aktiveret. For at lære mere, se Security/DNS Over HTTPS/Heuristics og Configure networks to disable DNS over HTTPS.