odoh ODoH (Oblivious DNS over HTTPS)

[kirdomin]

Привет! Хотел предложить добавить поддержку ODoH (Oblivious DNS over HTTPS) в прошивку Keenetic.

 

Этот протокол уже поддерживают Cloudflare, NextDNS, Mullvad и другие. Он работает поверх DoH, но делает запросы анонимнее — резолвер не видит IP пользователя, а прокси не знает, какой домен запрашивается. То есть приватность выше, чем у DoH/DoT/DoQ, без какого-то извращённого внедрения.

 

Что классно — ODoH идёт по HTTPS (порт 443), так что не нужно ничего отдельного открывать или городить, как с DoQ или DNSCrypt. Реализация по факту легче, чем кажется, потому что всё уже работает у крупных провайдеров. Можно просто добавить поддержку как ещё один вариант DNS (рядом с DoH/DoT), чтобы пользователь мог выбрать.

Изменено Понедельник в 01:39 пользователем kirdomin

[Le ecureuil]

Профит не особо понятен, если честно.

NextDNS его не поддерживает, и они явно написали что не видят в этом смысла: https://help.nextdns.io/t/x2yz4tm/its-time-for-nextdns-to-implement-odoh

У Mullvad тоже нигде в БЗ не указано про поддержку ODOH.

Кроме CF по сути никто его не поддерживает, плюс нет какого-то стандартного, прописанного в RFC KDF: сперва даже сами CF распространяли все в DNS RRTYPE65, а потом тихо и незаметно скатились до wellknown-файла. Как будут делать другие вендоры - неясно.

Пока больше вопросов, чем ответов и пользы.

[kirdomin]

6 часов назад, Le ecureuil сказал:

Профит не особо понятен, если честно.

NextDNS его не поддерживает, и они явно написали что не видят в этом смысла: https://help.nextdns.io/t/x2yz4tm/its-time-for-nextdns-to-implement-odoh

У Mullvad тоже нигде в БЗ не указано про поддержку ODOH.

Кроме CF по сути никто его не поддерживает, плюс нет какого-то стандартного, прописанного в RFC KDF: сперва даже сами CF распространяли все в DNS RRTYPE65, а потом тихо и незаметно скатились до wellknown-файла. Как будут делать другие вендоры - неясно.

Пока больше вопросов, чем ответов и пользы.

Я не прошу внедрять прямо сейчас.

Я предлагаю рассмотреть добавление в будущем, когда появится финальный RFC.

Keenetic уже поддерживает DoH и DoT — логично держать ODoH как перспективное направление.

Cloudflare, как крупнейший поставщик, развивает протокол, а остальные подтянутся как только будет спрос.

Лучше быть готовыми заранее, чем потом долго адаптироваться.

[Le ecureuil]

Я уже в 2020 смотрел на это все внимательно, и на мой взгляд с 2020 ничего не улучшилось + сильно больше распространения не стало. А значит пока делать что-то рано (или, как в случае с dnscrypt, уже поздно).