告别DNS劫持，一文读懂DoH-低调大师

告别DNS劫持，一文读懂DoH

2021-04-21 790

如果评选一个差评服务器榜单，除去育碧高居榜首外，一定也少不了 Nintendo Switch 让人头秃的联网服务。尽管任天堂已经架设了香港 CDN 服务器用于加速，但是更新安装的速度也没有什么大幅改变。一般这种时候大家都会选择更改 DNS 来提高 NS 下载速度。

DNS（域名系统）是工作生活中很常见的名词，用户只需要在浏览器中输入一个可识别的网址，系统便会在很短的时间内找到相应的 IP 地址。在解析过程中，DNS 会访问各种名称服务器，从这些名称服务器中获取存储着的与 URL 对应的数字地址。截止到现在，DNS 已经发展了几十年，虽然使用广泛，却很少引起人们对其安全性的关注。

从安全角度来看，请求传输时通常不进行任何加密，任何人都可以读取的 DNS 其实是不安全的。这意味着网络罪犯可以很容易地使用自己的服务器拦截受害者的 DNS，将用户的请求跳转到钓鱼网站上，这些网站发布恶意软件，或在正常网站上投放大量广告吸引用户，这种行为我们称之为 DNS 劫持。为了减少这类情况的发生，业界专家目前在挣扎讨论基于 HTTPS 的 DNS（DoH）的可行性选择。那么什么是通过 HTTPS 的 DNS，它可以使 Internet 更安全吗？我们一起来看看吧。

为什么需要通过 HTTPS 的 DNS？

在日常上网中，如果用户输入无法解析的网址（例如，由于输入错误），则某些 Internet 提供商（ISP）会故意使用 DNS 劫持技术来提供错误消息。一旦 ISP 拦截了此内容，就会将用户定向到自己的网站，在该网站宣传自己或第三方的产品。虽然这并不违法，也不会直接损害用户，但是该类重定向仍会让用户反感。因此，单独使用 DNS 协议并不是非常可靠的。

而 DoH （DNS over HTTPS）即使用安全的 HTTPS 协议运行 DNS ，主要目的是增强用户的安全性和隐私性。通过使用加密的 HTTPS 连接，第三方将不再影响或监视解析过程。因此，欺诈者将无法查看请求的 URL 并对其进行更改。如果使用了基于 HTTPS 的 DNS ，数据在传输过程中发生丢失时，DoH 中的传输控制协议（TCP）会做出更快的反应。

目前，DoH 尚未成为 Internet 上的全球标准，大多数连接仍依赖基本的 DNS。到目前为止，仅 Google 和 Mozilla 两家公司涉足了这一领域。Google 现正在与部分用户一起测试该功能。此外，还有用于移动设备的应用程序，这些应用程序也可以通过 DoH 进行网上冲浪。Android Pie 也提供了通过网络设置启用基于 HTTPS 的 DNS 选项。

通过 HTTPS 的 DNS 如何工作？

通常一些域名解析会直接从用户的客户端进行，相应的域名信息被保存在浏览器或路由器的缓存中。而期间传输的所有内容都需要通过 UDP 连接，因为这样可以更快速地交换信息。但是我们都知道，UDP 既不安全也不可靠。使用该协议时，数据包可能会随时丢失，因为没有任何机制可以保证传输的可靠性。

而 DoH 依赖于 HTTPS，因此也依赖于 TCP，一种在 Internet 上使用频率更高的协议。这样既可以对连接进行加密， TCP 协议也可以确保完整的数据传输。另外，使用了基于 HTTPS 的 DNS，通信始终通过 443 端口进行，并在 443 端口传输实际的网络流量（例如，访问网站）。因此，外人无法区分 DNS 请求和其他通信，这也保障了更高级别的用户隐私。

DoH 的优点和缺点

DoH 的优点是显而易见的，该技术提高了安全性并保护了用户隐私。与传统的 DNS 相比，DoH 提供了加密措施。它利用 HTTPS 这种行业通用的安全协议，将 DNS 请求发往 DNS 服务器，这样运营商或第三方在整个传输过程中，只能知道发起者和目的地，除此以外别的什么都知道，甚至都不知道我们发起了 DNS 请求。

DoH 的加密措施可防止窃听或拦截 DNS 查询，但这也会带来了一些潜在的风险。多年以来实施的一些互联网安全措施都要求 DNS 请求过程可见。例如，家长控制需要依靠运营商为一些用户阻止访问某些域名。执法部门可能希望通过 DNS 数据来跟踪罪犯，并且许多组织都会使用安全系统来保护其网络，这些安全系统也会使用 DNS 信息来阻止已知的恶意站点。引入 DoH 可能会严重影响上述这些情况。因此，目前 DoH 还处于自主配置的时期。用户需要清楚谁可以看到数据，谁可以访问数据以及在什么情况下可以访问。

DoH 与 DoT

除了基于 HTTPS 的 DNS 外，目前还有另一种用于保护域名系统的技术：基于 TLS 的 DNS（DoT）。这两个协议看起来很相似，它们也都承诺了更高的用户安全性和隐私性。但是这两项标准都是单独开发的，并且各有各的 RFC 文档。DoT 使用了安全协议 TLS，在用于 DNS 查询的用户数据报协议（UDP）的基础上添加了 TLS 加密。DoT 使用 853 端口，DoH 则使用 HTTPS 的 443 端口。

由于 DoT 具有专用端口，因此即使请求和响应本身都已加密，但具有网络可见性的任何人都可以发现来回的 DoT 流量。DoH 则相反，DNS 查询和响应在某种程度上伪装在其他 HTTPS 流量中，因为它们都是从同一端口进出的。

关于 DoT 和 DoH 究竟哪个更好？这个还有待商榷。不过从网络安全的角度来看，DoT 可以说是更好的。它使网络管理员能够监视和阻止 DNS 查询，这对于识别和阻止恶意流量非常重要。另一方面，DoH 查询隐藏在常规 HTTPS 流量中。这意味着，若不阻止所有其他的 HTTPS 流量，就很难阻止它们。

Zookeeper基础原理&应用场景详解

简单了解Zookeeper Tips: 如果之前对Zookeeper不了解的话，这里大概留个印象就好了 Zookeeper是一个分布式协调服务，可以用于元数据管理、分布式锁、分布式协调、发布订阅、服务命名等等。例如，Kafka中就是用Zookeeper来保存其集群中的相关元数据，例如Broker、Topic以及Partition等等。同时，基于Zookeeper的Watch监听机制，还可以用其实现发布、订阅的功能。在平常的常规业务使用场景下，我们几乎只会使用到分布式锁这一个用途。 Zookeeper内部运行机制 Zookeeper的底层存储原理，有点类似于Linux中的文件系统。Zookeeper中的文件系统中的每个文件都是节点（Znode）。根据文件之间的层级关系，Zookeeper内部就会形成这个这样一个文件树。在Linux中，文件（节点）其实是分类型的，例如分为文件、目录。在Zookeeper中同理，Znode同样的有类型。在Zookeeper中，所有的节点类型如下：持久节点（Persistent）持久顺序节点（Persistent Sequential) 临时节点（E...

2021-04-21

507

摘要：当web工程比较大，历史代码较多时，应当使用log4j2框架的能力来修改日志注入问题，而不是按照有些博文里写的逐个进化参数的方式。本文分享自华为云社区《Java云服务开发安全问题解析——日志注入，并没那么简单》，原文作者：breakDraw。案例故事某个新系统上线了，小A在其中开发了个简单的登录模块，会在日志里记录所有登录成功或者失败的用户。小A对用户名都做了白名单校验，不正确的名字，也会用WARN的形式，打印出来做记录。像下面这样： [2021-04-17 16:50:35][INFO][main] [Login:308] login success,userName=tony [2021-04-17 16:50:35][WARN][main] [Login:308] username is wrong,userName=tony.dssdff 日志对接了风险审计系统，会定期从日志中审计出那些每天有可疑登录行为的人，例如那些半夜登录或者频繁登录（不要在意细节，不用审计也能做，只是举个例子而已）某天，日志审计系统提示tony登录过于频繁且高危操作，于是把tony...

2021-04-21

798

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。