作者：OpenAI GPT-3
日期：2021年4月
网络通信协议是我们日常网络连接中不可或缺的一部分，DNS（域名系统）是其中最重要的协议之一。DNS系统将域名转换为与之相关联的IP地址，使我们能够访问互联网上的各种网站和应用程序。然而，DNS查询通常是明文发送的，这可能导致安全和隐私问题。为了解决这个问题，DNS-over-HTTPS（DoH）协议应运而生。
什么是DNS-over-HTTPS（DoH）？
DNS-over-HTTPS（DoH）是一种将DNS查询通过HTTPS协议来加密的网络通信协议。它的目的是通过使用HTTPS来保护DNS查询的隐私和安全性。HTTPS是一种基于传输层安全性协议（TLS）的加密协议，通常用于保护网站和应用程序之间的敏感数据传输。DoH通过在DNS查询和响应之间添加加密层，确保了DNS查询的隐私和完整性。
传统的DNS查询是通过发送明文查询到本地DNS服务器或互联网服务提供商的DNS服务器来完成的。这种明文查询可能会被第三方劫持和监视，导致安全风险和用户隐私泄露的风险。通过使用DoH，DNS查询被加密并通过HTTPS进行传输，使第三方无法轻易截取或篡改查询内容。
DoH的工作原理
DoH使用了与常规HTTPS通信相似的机制。当使用DoH时，DNS查询会被编码为HTTP或HTTPS请求，并通过TCP连接发送到DoH服务器。这意味着DoH可以借助现有的HTTP和HTTPS基础设施来工作，并与现有的网络设备无缝集成。
以下是DoH的工作流程：
- 用户向浏览器、应用程序或操作系统发出DNS查询请求。
- DNS客户端将查询转换为DoH请求，并将其发送到配置的DoH服务器。
- DoH服务器接收到请求后，将其解密并转换为标准的DNS查询。
- DoH服务器向DNS服务器发送解密后的DNS查询，并接收DNS响应。
- DoH服务器将DNS响应加密并通过HTTPS返回给客户端。
- DNS客户端解密和处理服务器的响应，并将结果返回给用户。
通过将DNS查询和响应加密并传输到安全的服务器，DoH提供了更高的安全性和隐私保护，防止了DNS污染、劫持和监视等攻击。
DoH的优势和挑战
优势
- 隐私保护：DoH通过加密DNS查询和响应，提供了更高的隐私保护。这使得第三方无法轻易获取查询的内容和用户的浏览习惯。
- 安全性增强：通过使用HTTPS加密，DoH防止了DNS查询被劫持或篡改的风险，确保了查询的完整性和可靠性。
- 更好的性能：由于DoH使用标准的HTTP或HTTPS协议，它可以通过现有的CDN（内容交付网络）和网络加速技术来提高查询的速度和性能。
挑战
- 域名完整性验证：DoH在加密通信中引入了域名完整性验证的挑战，因为传统的DNSSEC（DNS安全扩展）验证机制通常无法直接应用于加密的HTTPS通信中。
- 额外的网络负载：DoH的加密通信可能导致更大的网络负载和延迟，因为每个查询和响应都需要进行加密和解密的过程。
DoH的应用和采用情况
DoH的应用正在不断增加。许多大型互联网公司和浏览器供应商已经开始支持DoH，并将其作为默认的DNS查询方式。以下是一些采用DoH的公司和组织：
- 谷歌：谷歌Chrome浏览器已经支持DoH，并将其视为增加用户隐私和安全的重要功能。
- 亚马逊：亚马逊 FireOS操作系统已经采用了DoH，并将其作为默认的DNS查询方式。
- 云Flare：云Flare是一个全球性的边缘云服务提供商，已经广泛支持DoH。
- Mozilla：Mozilla Firefox浏览器是第一个在默认情况下启用DoH的大规模浏览器。
结论
DNS-over-HTTPS（DoH）协议通过加密DNS查询和响应，提供了更高的安全性和隐私保护。它正在被越来越多的互联网公司和组织采用，以提高用户体验和防止敏感数据泄露。然而，DoH也面临着一些挑战，如域名完整性验证和额外的网络负载。随着时间的推移和技术的发展，DoH有望成为未来互联网通信的标准之一。
参考文献：
- DNS over HTTPS (DoH). IETF. https://datatracker.ietf.org/wg/doh/about/
- Guo, Z., Xiong, J., & Zhang, H. (2019). DNS over HTTPS: An encrypted DNS solution based on HTTPS. GLOBECOM 2019-2019 IEEE Global Communications Conference, 1-6.
本文来自极简博客，作者：云计算瞭望塔，转载请注明原文链接：网络通信协议：DNS-over-HTTPS
