Bạn mới bắt đầu với DNS qua HTTPS (DoH)? Đừng lo lắng! Chúng tôi đã vạch ra một danh sách các câu hỏi thường gặp ở đây mà bạn có thể thấy hữu ích trong khi tìm hiểu tất cả những gì DoH cung cấp. Để biết thêm thông tin, hãy xem Firefox DNS-over-HTTPS.

Cách DNS qua HTTPS hoạt động cho người dùng Firefox tại các địa phương mà chúng tôi đã triển khai DoH theo mặc định

Chính sách quyền riêng tư cho DNS qua HTTPS là gì?

Việc triển khai DoH là một phần trong công việc của chúng tôi nhằm bảo vệ người dùng khỏi việc theo dõi dữ liệu cá nhân trực tuyến tràn lan. Để làm được điều đó, Mozilla yêu cầu tất cả các nhà cung cấp DNS có thể được chọn trong Firefox phải tuân thủ chính sách trình phân giải của chúng tôi thông qua một hợp đồng ràng buộc về mặt pháp lý. Các yêu cầu này đặt ra các giới hạn nghiêm ngặt về loại dữ liệu có thể được giữ lại, những gì nhà cung cấp có thể làm với dữ liệu đó và họ có thể giữ lại dữ liệu đó trong bao lâu. Chính sách nghiêm ngặt này nhằm bảo vệ người dùng khỏi việc các nhà cung cấp có thể thu thập và kiếm tiền từ dữ liệu của họ.

Người dùng có được cảnh báo khi tính năng này được bật và được cung cấp tùy chọn từ chối không?

Có, một thông báo sẽ hiển thị trong Firefox và sẽ không biến mất cho đến khi người dùng đưa ra quyết định về việc bật hoặc tắt các biện pháp bảo vệ quyền riêng tư DNS.

Người dùng có thể tắt DoH không?

Có, họ có thể tắt DoH, chọn nhà cung cấp DoH của riêng mình và thực hiện các thay đổi cấu hình khác từ bảng Privacy & Security trong cài đặt Firefox, như được giải thích trong bài viết Cấu hình các cấp bảo vệ DNS qua HTTPS trong Firefox.

Người dùng có thể từ chối trước không?

Có, bạn có thể đặt network.trr.mode thành 5 theo cách thủ công trong Trình chỉnh sửa cấu hình. Thông tin bổ sung về các chế độ có thể được tìm thấy ở đây.

DoH sẽ tác động như thế nào đến các doanh nghiệp có giải pháp DNS tùy chỉnh?

Chúng tôi đã giúp các doanh nghiệp dễ dàng tắt tính năng này. Ngoài ra, Firefox sẽ phát hiện xem các chính sách doanh nghiệp đã được đặt trên thiết bị hay chưa và sẽ tắt DoH trong những trường hợp đó. Nếu bạn là quản trị viên hệ thống muốn tìm hiểu cách định cấu hình chính sách doanh nghiệp, vui lòng xem lại tài liệu.

DoH sẽ tác động như thế nào đến quyền kiểm soát của phụ huynh?

Chúng tôi biết rằng một số Nhà cung cấp dịch vụ Internet (ISP) sử dụng DNS để cung cấp dịch vụ kiểm soát của phụ huynh nhằm chặn nội dung người lớn. Quan điểm của Mozilla là DNS không phải là cách tiếp cận tốt nhất để kiểm soát của phụ huynh, nhưng chúng tôi cũng không muốn phá vỡ các dịch vụ hiện có, vì vậy chúng tôi kiểm tra một loạt các miền canary trước khi bật DoH. Nếu các miền này cho biết quyền kiểm soát của phụ huynh đang bật, thì chúng tôi sẽ tắt DoH. Để biết thêm thông tin, hãy xem bài đăng blog này của Mozilla.

Các mạng không thể chỉ kích hoạt kiểm tra miền canary mọi lúc và tắt DoH sao?

Có, các miền canary là một giải pháp cung cấp bảo mật tốt nhất để chống lại những kẻ tấn công mạng và ngăn chặn việc phá vỡ các triển khai hiện có. Chúng tôi sẽ theo dõi việc sử dụng chúng, điều tra mọi sự cố lạm dụng và xem xét các biện pháp để ngăn chặn những sự cố đó.

DoH có phá vỡ Mạng phân phối nội dung (CDN) không?

Chúng tôi biết rằng một số CDN sử dụng điều hướng lưu lượng dựa trên DNS có thể bị ảnh hưởng bởi DoH. Tuy nhiên, các phép đo của chúng tôi cho thấy thời gian tải trang DoH có tính cạnh tranh so với thời gian tải trang DNS thông thường. Trong và sau giai đoạn triển khai, chúng tôi sẽ theo dõi hiệu suất của Firefox để xem có tồn tại bất kỳ lỗi nào không.

Firefox xử lý DNS split-horizon như thế nào?

Nếu Firefox không phân giải được một miền thông qua DoH, nó sẽ quay trở lại DNS. Điều này có nghĩa là bất kỳ miền nào chỉ có sẵn trên DNS thông thường (vì chúng không công khai) sẽ được phân giải theo cách đó. Nếu bạn có một miền có thể phân giải công khai nhưng phân giải khác nhau trong nội bộ, thì bạn nên sử dụng cài đặt doanh nghiệp để tắt DoH.

Bạn có xác thực DNSSEC không?

DNSSEC đảm bảo rằng các phản hồi DNS không bị giả mạo trong quá trình truyền, nhưng không mã hóa các yêu cầu và phản hồi DNS. Chúng tôi đã ưu tiên mã hóa DNS bằng DoH để bảo vệ quyền riêng tư của người dùng. Chúng tôi đang xem xét việc triển khai DNSSEC trong tương lai.

Quan hệ đối tác DNS qua HTTPS

Firefox sẽ sử dụng trình phân giải nào?

Ở mỗi quốc gia nơi chúng tôi ra mắt DoH, chúng tôi sẽ có một trình phân giải mặc định (ví dụ: ở Mỹ, trình phân giải mặc định là Cloudflare). Người dùng có thể chọn thay thế từ danh sách các nhà cung cấp bổ sung trong chương trình Trusted Recursive Resolver của chúng tôi, chương trình này yêu cầu tuân thủ các yêu cầu chính sách của chúng tôi về quyền riêng tư và bảo mật của người dùng. Theo thời gian, chúng tôi hy vọng sẽ bổ sung thêm nhiều nhà cung cấp vào chương trình Trusted Recursive Resolver của mình. Ngoài ra, tầm nhìn của chúng tôi là DoH được tất cả các trình phân giải DNS chấp nhận và hỗ trợ trên toàn cầu.

Mozilla chọn các trình phân giải đáng tin cậy của mình như thế nào?

Các trình phân giải mặc định của chúng tôi có thể đáp ứng các yêu cầu chính sách nghiêm ngặt mà chúng tôi hiện có. Các yêu cầu này được sao lưu trong các hợp đồng ràng buộc về mặt pháp lý và được công khai trong các thông báo về quyền riêng tư tốt nhất trong lớp ghi lại các chính sách đó và cung cấp sự minh bạch cho người dùng.

Mozilla có được trả tiền để định tuyến các yêu cầu DNS đến các trình phân giải mặc định của mình không?

Không có tiền được trao đổi để định tuyến các yêu cầu DNS đến các đối tác phân giải mặc định của chúng tôi.

Mozilla hoặc các trình phân giải mặc định của nó có kiếm tiền từ dữ liệu này không?

Không, chính sách của chúng tôi nghiêm cấm rõ ràng việc kiếm tiền từ dữ liệu này. Mục tiêu của chúng tôi với tính năng này là cung cấp các biện pháp bảo vệ quyền riêng tư quan trọng cho người dùng và gây khó khăn hơn cho các trình phân giải DNS hiện tại trong việc kiếm tiền từ dữ liệu DNS của người dùng.

Thông tin thêm về việc triển khai DNS qua HTTPS của Firefox

Lịch trình triển khai của bạn là gì?

Chúng tôi đã triển khai DoH theo mặc định cho Hoa Kỳ vào năm 2019, ở Canada vào năm 2021, và Nga và Ukraine vào tháng 3 năm 2022. Chúng tôi hiện đang trong giai đoạn lập kế hoạch triển khai theo mặc định cho các địa phương khác.

Bạn có đang triển khai mặc định này ở Châu Âu không?

Là một phần trong chiến lược tiếp tục đo lường cẩn thận các lợi ích và tác động của DoH, cho đến nay chúng tôi chỉ phát hành tính năng này theo mặc định ở Nga, Ukraine cũng như Mỹ và Canada.

Tại sao Firefox triển khai DoH mà không phải DoT?

IETF đã tiêu chuẩn hóa hai giao thức DNS qua truyền tải an toàn: DNS-over-TLS (DoT) và DNS-over-HTTPS (DoH). Hai giao thức này có các thuộc tính bảo mật và quyền riêng tư tương tự nhau. Chúng tôi đã chọn DoH vì chúng tôi tin rằng nó phù hợp hơn với ngăn xếp mạng trình duyệt trưởng thành hiện có của chúng tôi (tập trung vào HTTP) và cung cấp hỗ trợ tốt hơn cho các tính năng giao thức trong tương lai như ghép kênh HTTP/DNS và QUIC.

DoT có dễ dàng hơn cho các nhà khai thác mạng để phát hiện và chặn không?

Có, chúng tôi không nghĩ rằng đây là một lợi thế. Firefox cung cấp các cơ chế để các nhà khai thác mạng báo hiệu rằng họ có lý do chính đáng để tắt DoH. Chúng tôi không tin rằng việc chặn kết nối với trình phân giải là một phản hồi thích hợp.

Chỉ báo tên máy chủ (SNI) có làm rò rỉ tên miền không?

Có, mặc dù không phải tất cả các tên miền đều bị rò rỉ qua SNI, chúng tôi lo ngại về rò rỉ SNI và đã bắt đầu làm việc trên SNI được mã hóa.

DoH heuristics là gì?

Đây là một tập hợp các kiểm tra mà Firefox thực hiện trước khi bật DoH theo mặc định cho người dùng trong các khu vực triển khai, để xem việc bật DoH có gây ra tác động tiêu cực hay không. (Các kiểm tra này bị bỏ qua nếu bạn đã bật DoH một cách rõ ràng.) Ví dụ: DoH sẽ vẫn bị tắt nếu các chính sách doanh nghiệp hoặc quyền kiểm soát của phụ huynh được bật. Để tìm hiểu thêm, hãy xem Security/DNS Over HTTPS/Heuristics và Configure networks to disable DNS over HTTPS.