Mozilla：云端 DOH 比传统 DNS 更安全，性能差别不大

与传统 DNS 相比，DOH（通过 HTTPs 加密发出 DNS 请求） 云端服务的性能影响很小，大多数情况只慢6毫秒，连接错误率也没有明显差异，但是却比 DNS 更安全，使用者隐私能受到更好的保护。

Mozilla 今年3月时，在 Firefox Nightly 版本进行了 DOH(DNS Over HTTPS)与传统 DNS 的比较实验，探讨后者是否能被前者取代，结果显示虽然 DOH 服务平均比传统 DNS 慢6毫秒，但是相比之下，DOH 不止服务更安全，而且在极端情况下，甚至能比传统 DNS 的回应还快几百毫秒。

现在的浏览器用户依赖不够安全的传统 DNS 协议来访问目标网站，可能面临被追踪(Tracking)或是欺骗(Spoofing)等风险。Mozilla 引用了2018年 Usenix 安全研讨会的论文，研究显示 DNS 服务现在正受到严重的干扰，而且面临各种资料收集的隐私威胁。Firefox 开发了 DOH 技术，让浏览器从一个或多个可信任的服务中获取 DNS 信息，以提供高安全与高隐私的 DNS 服务。

由于以可信任的 DOH 云端服务取代传统 DNS 是一个剧烈的改变，在选择 DOH 服务器时需要考虑很多因素，因此 Mozilla 对此展开了测试，主要想了解两个问题，第一个，使用 DOH 是否能取代传统 DNS？第二个，使用 DOH 是否会出现额外的连接错误？在7月的时候有约 25000 名 Firefox Nightly 63 使用者参与了 Cloudflare 与 Mozilla 共同举行的测试，测试总共收集到了超过十亿条的 DOH 数据，目前测试已结束。

结果显示，与传统 DNS 相比，和云端服务供应商合作使用 HTTPS 发出 DNS 请求，在无缓存的 DNS 查询上，性能影响很小，大多数的查询只慢了约6毫秒，但从权衡安全性和保护隐私数据的角度出发，这是可以被接受的成本。而且在某些情况下，甚至能比传统 DNS 还快几百毫秒。

另外，这个测试除了解性能方面的影响，还考虑了连接错误率，在软故障(Soft-fail)模式下使用 DOH 云端服务的用户，和传统 DNS 用户相比，错误连接率并没有明显差异。软故障模式主要使用 DOH，当域名无法正确解析或是 DOH 提供的地址连接失败时，便退回使用传统 DNS。

Mozilla 提到，他们正努力于创造一个可信任的 DOH 供应商生态，以满足较高标准的数据处理需求，后续会在一组供应商中或是依照地理位置划分 DNS 传输，这项试验可能会在不久之后进行。

【编辑推荐】

1. Chrome和火狐浏览器将进一步降低对运行内存的占用
2. 比格云-在云端之上献礼2018ChinaJoy
3. 外媒速递：在选择自动测试工具时，我们应当优先考量哪些条件?
4. 外媒速递：如何在Kuberentes中运行集成测试
5. 苹果发布iOS 12系统第七个开发者测试版

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!