Los métodos para bloquear (si quieres) DoH en la red internaSergio de los Santos 11 noviembre, 2019 DNS es uno de los protocolos más antiguos de la red, y siempre ha sido un dolor de cabeza de de la seguridad (desde el ataque cumpleaños, hasta el problema de Kaminsky). Todo en claro, con posibilidad de UDP (más fácil aún de inyectar paquetes falsos…), un desastre incluso sin necesidad de ataques, porque los servidores pueden estar controlados por gobiernos y así redirigir o bloquear peticiones, y todo de forma absolutamente transparente y sin privacidad ni integridad (porque DNSSEC no está tan instaurado como debería). Hemos confiado los cimientos de Internet a un protocolo que no ha sabido protegerse tecnológicamente como para que se adoptaran masivamente las soluciones (o no se ha querido, precisamente por esa misma razón) y al que se le han aplicado todo tipo de parches y cataplasmas para no romper con el legado. Tanto, que al final la propuesta para conseguir seguridad ha sido rompedora: pasar la resolución al plano de los datos. Y por si fuera poco, DoH (DNS over HTTPS) hace que la resolución no confíe en el DNS global del sistema, sino que podrá ignorar a ese servidor DNS que habitualmente se te proporciona por DHCP… de forma que cada aplicación podrá resolver a través de HTTPS de forma estándar. Esto es como si cada programa (navegador como estandarte) realizara sus resoluciones de dominio de forma individual, privada e inaccesible para el resto del sistema operativo o aplicaciones. Pero esto no es malo, ¿verdad? ¿No sería maravilloso que nadie viera qué intentamos resolver, y no pudiera modificarlo de ninguna forma? Disfrazar en el HTTPS las peticiones, las respuestas, y dejarse arrastrar por la masa en un puerto que nadie puede cortar, el 443. No más espías o restricciones. Eso es lo que promete DoH, con Firefox como abanderado, pero ¿rompe más de lo que arregla? Algunos creen que sí. Y por eso vamos a explicar cómo deshabilitar DoH a diferentes niveles y aclarar además cuándo no va a activarse. Porque DoH no tiene nada de malo, pero habrá administradores interesados en que sus usuarios sigan confiando en los DNS “tradicionales”. Para los que estén alarmados, que sepan que se puede elegir. Vayamos caso a caso. Cómo deshabilitar DoH en Chrome Chrome usa una estrategia muy conciliadora con todos. Se trata de una tabla propia donde se mapearán los DNS con sus respectivos servidores DoH. Si los DNS de sistema tienen asociado un DoH, resolverá por el DoH de ese DNS. Esta es una aproximación interesante, a medio camino. Si un servidor DNS dispone de versión DoH gestionados por ellos mismos, se pueden seguir aplicando las políticas de seguridad necesarias, con lo que se alivian buena parte de los problemas, manteniendo los beneficios. Como la tabla es insostenible a largo plazo, ya existe una propuesta RFC para incluir tu servidor DoH en tu servidor DNS a través de un registro TXT o del propio HTTPS. En todo caso, si se quiere no usar DoH para nada, se puede hacer desde chrome://flags y marcando la opción en la imagen «Secure DNS lookups». Cómo deshabilitarlo en Firefox: el dominio canario Firefox es el navegador con la estrategia más agresiva, pretende que todos usen DoH contra Cloudfare por defecto. Pero tenemos varias opciones para poder elegir. Si se controlan los DNS de red, se puede usar el dominio canario use-application-dns.net. Esto quiere decir que si Firefox detecta que ese dominio no resuelve con los DNS del sistema, deshabilitará DoH. Sencillo para quien controle sus DNS. Si estáis pensando que vale con bloquearlo en el /etc/hosts, no se podrá. Firefox intentará resolverlo con los DNS de sistema, y solo con ellos. Si el DNS devuelve un NOERROR y contiene registros A, AAAA o ambos… el dominio existirá y por tanto DoH tendrá vía libre. Si devuelve un NXDOMAIN, SERVFAIL, o un NOERROR pero sin A o AAAA… se considerará que se ha bloqueado el dominio y por tanto no se quiere DoH. Cómo deshabilitarlo en Firefox: otras opciones Firefox mirar otras «señales» para saber si debe usar, o no, DoH. Por ejemplo, si detecta algún sistema de control parental en el sistema operativo. No da detalles de cómo, y solo lo hará en MacOS y Windows. Una variante de lo de arriba es si detecta que SafeSearch está activo. Esto es un sistema de Google para evitar que Google y Youtube devuelvan resultados explícitos. Por último, tampoco usará DoH si el flag security.enterprise_roots.enabled está activo en Firefox. Esto se usa en general para que Firefox mire en el repositorio de certificados del sistema operativo (y no en el suyo propio, como hace habitualmente). Ahora también servirá para indicar que no debe usar DoH. Otra forma de usar DoH, pero con más capacidad de elección, es elegir libremente qué servidores DoH se quieren usar. Con nuestra extensión EasyDoH se podrá elegir de una lista de servidores, para no estar atado a Cloudfare y saber qué alternativas existen. Incluso, podemos jugar con las opciones (de momento muy oscuras) de qué modalidad de DoH. Si solo DoH, si DoH o DNS según se resuelva más rápido, deshabilitar el DoH por completo, etc. En about:config con los TRR encontraremos más granularidad. Y por cierto, para saber si lo estamos usando utilizamos o no TRR (al final así lo califica Firefox) podemos visitar about:networking#dns en el navegador. Ahí veremos qué resuelve y por dónde. Ransomware: el azote de las PymesElevenPaths Radio – 1×11 Entrevista a Juan Santamaría
Telefónica Tech Boletín semanal de ciberseguridad, 13—20 de mayo VMware corrige vulnerabilidades críticas en varios de sus productos VMware ha publicado un aviso de seguridad con el fin de corregir una vulnerabilidad crítica de omisión de autenticación que afecta...
Jennifer González Qué es la huella digital y por qué es importante conocerla para proteger a los menores en internet Como explicaba en mi anterior artículo sobre las cibervictimizaciones en los menores y el aumento que cada año se registra, hoy querría hablar sobre la importancia de concienciarnos sobre...
Telefónica Tech Boletín semanal de ciberseguridad, 7—13 de mayo Vulnerabilidad en BIG-IP explotada para el borrado de información El pasado 4 de mayo F5 corregía entre otras, una vulnerabilidad que afectaba a dispositivos BIG-IP (CVE-2022-1388 CVSSv3 9.8), que podría...
Juan Elosua Tomé Shadow: tecnología de protección contra filtraciones de documentos Shadow, de Telefónica Tech, es una tecnología que permite identificar el origen de una fuga de información como la sucedida recientemente en EE UU
David García El nuevo final de las contraseñas Password, contraseña, clave, frase de paso… ¿Cuántos puedes recordar si no usas un gestor de contraseñas? Es más ¿Usas un gestor?
Marta Mª Padilla Foubelo Dark Markets, el concepto de mercado negro en la Internet actual ¿Que son los Dark Markets o Black Markets? Basta con traducirlo para hacernos una idea: es el mercado negro que también existe en internet