Вместо кнопки "(i)" будет показан индикатор уровня безопасности соединения, который позволит оценить состояние режимов блокировки кода для отслеживания перемещений. Цвет символа замка для HTTPS будет заменён с зелёного на серый (вернуть зелёный цвет можно будет через настройку security.secure_connection_icon_color_gray).



В целом наблюдается переход браузеров от положительных индикаторов безопасности к выводу предупреждений о проблемах с безопасностью. Смысл отдельного выделения HTTPS теряется так как в современных реалиях подавляющее большинство запросов обрабатывается с использованием шифрования и воспринимается как данность, а не дополнительная защита. По статистике сервиса Firefox Telemetry общемировая доля запросов страниц по HTTPS составляет 79.27% (год назад 70.3%, два года назад 59.7%), а в США - 87.7%.



Информация об EV-сертификате будет убрана в выпадающее меню. Для возвращения показа сведений об EV-сертификате в адресной строке в about:config добавлена опция "security.identityblock.show_extended_validation". Переработка адресной строки в общем виде повторяет изменения, ранее утверждённые для Chrome, но в Firеfox пока не планируется скрывать по умолчанию поддомен "www" и добавлять механизм Signed HTTP Exchanges (SXG). Напомним, что SXG позволяет владельцу одного сайта при помощи цифровой подписи авторизовать размещения определённых страниц на другом сайте, после чего в случае обращения к этим страницам на втором сайте, браузер будет показывать пользователю URL исходного сайта, несмотря на то, что страница загружена с другого хоста.

Дополнение: Приведённая в начальном варианте новости информация о намерении скрыть "https://" не подтвердилась, но тикет с данным предложением переведён в состояние "task" и добавлен в сводный список задач по изменению отображения HTTPS в адресной строке.

Важность шифрования DNS-трафика оценивается как принципиально важный фактор защиты пользователей, поэтому DoH решено включить по умолчанию, но на первом этапе только для пользователей из США. После активации DoH пользователю будет выведено предупреждение, которое позволит при желании отказаться от обращения к централизованным DoH-серверам DNS и вернуться к традиционной схеме отправки незашифрованных запросов к DNS-серверу провайдера (вместо распределённой инфраструктуры резолверов DNS, в DoH использована привязка к определённому DoH-сервису, который может рассматриваться как единая точка отказа).

При активации DoH возможно нарушение работы систем родительского контроля и корпоративных сетей, использующих доступную только для внутренней сети структуру имён DNS для преобразования интранет-адресов и корпоративных хостов. Для решения проблем с подобными системами добавлена система проверок, автоматически отключающих DoH. Проверки выполняются при каждом запуске браузера или при определении изменения подсети.

Автоматический возврат на использование штатного резолвера операционной системы также предусмотрен при возникновении сбоев при резолвинге через DoH (например, при нарушении сетевой доступности с провайдером DoH или возникновении сбоев в его инфраструктуре). Смысл подобных проверок сомнителен, так как никто не мешает атакующим, контролирующим работу резолвера или способным вмешаться в трафик, симулировать подобное поведение для отключения шифрования DNS-трафика. Проблема решена добавлением в настройки пункта "DoH always" (по молчанию не активен), при установке которого автоматическое отключение не применяется, что является разумным компромиссом.

Для определения корпоративных резолверов выполняются проверки нетипичных доменов первого уровня (TLD) и возвращение системным резолвером интранет-адресов. Для определения включения родительского контроля осуществляется попытка резолвинга имени exampleadultsite.com и если результат не совпадает с фактическим IP, считается, что активна блокировка взрослого контента на уровне DNS. В качестве признаков также проверяются IP-адреса Google и YouTube на предмет их подмены на restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com. Дополнительно Mozilla предлагает внедрить единый проверочный хост use-application-dns.net, который могут использовать интернет-провайдеры и сервисы родительского контроля в качестве метки для отключения DoH (если хост не определяется, Firefox отключает DoH).

Работа через единый DoH-сервис также потенциально может привести к проблемам с оптимизацией трафика в сетях доставки контента, которые выполняют балансировку трафика с использованием DNS (DNS-сервер CDN-сети формирует ответ, учитывая адрес резолвера и выдаёт ближайший хост для получения контента). Отправка DNS-запроса c ближайшего к пользователю резолвера в таких CDN приводит к возврату адреса ближайшего к пользователю хоста, но при отправке DNS-запроса с централизованного резолвера будет выдан адрес хоста, ближайший к серверу DNS-over-HTTPS. Тестирование на практике показало, что применение DNS-over-HTTP при использовании CDN практически не приводило к задержкам перед началом передачи контента (для быстрых соединений задержки не превышали 10 миллисекунд, а на медленных каналах связи наблюдалось даже ускорение работы). Для передачи резолверу CDN сведения о местоположении клиента также было рассмотрено применение расширения EDNS Client Subnet.

Напомним, что DoH может оказаться полезным для исключения утечек сведений о запрашиваемых именах хостов через DNS-серверы провайдеров, борьбы с MITM-атаками и подменой DNS-трафика, противостояния блокировкам на уровне DNS или для организации работы в случае невозможности прямого обращения к DNS-серверам (например, при работе через прокси). Если в обычной ситуации DNS-запросы напрямую отправляются на определённые в конфигурации системы DNS-серверы, то в случае DoH запрос на определение IP-адреса хоста инкапсулируется в трафик HTTPS и отправляется на HTTP-сервер, на котором резолвер обрабатывает запросы через Web API. Существующий стандарт DNSSEC использует шифрование лишь для аутентификации клиента и сервера, но не защищает трафик от перехвата и не гарантирует конфиденциальность запросов.

Для включения DoH в about:config следует изменить значение переменной network.trr.mode, которая поддерживается начиная с Firefox 60. Значение 0 полностью отключает DoH; 1 - используется DNS или DoH, в зависимости от того, что быстрее; 2 - используется DoH по умолчанию, а DNS как запасной вариант; 3 - используется только DoH; 4 - режим зеркалирования при котором DoH и DNS задействованы параллельно. По умолчанию используется DNS-сервер CloudFlare, но его можно изменить через параметр network.trr.uri, например, можно установить или .

Разработчики из Mozilla Corporation (дочерняя компания Mozilla Foundation), занимающейся созданием и продвижением браузеров Firefox и Thunderbird, сообщили об успешном испытании нового экспериментального протокола шифрования «DNS поверх HTTPS» (DNS-over-HTTPS, DoH). Он обеспечивает получение информации о домене (DNS) через криптографически защищенный протокол HTTPS.

В Mozilla также приняли решение о включении протокола DoH в Firefox по умолчанию в одну из следующих версий браузера, сообщили разработчики в своем блоге. Пока что функция будет доступна только пользователям браузера на территории США, о ее запуске в других странах информации пока нет.

Использование протокола DoH на практике означает возможность обхода любых блокировок запрещенных сайтов по DNS с помощью браузера Firefox, поскольку все DNS-запросы будут передаваться в зашифрованном виде, а блокировки по IP-адресу будут преодолеваться изменением IP заблокированного адреса.

Шифрование по протоколу DNS-over-HTTPS в перспективе также может оставить не у дел методику глубокой проверки и управления сетевым трафиком Deep Packet Inspection (DPI), взятую на вооружение Роскомнадзором, поскольку фильтрация пакетов зашифрованного https-трафика со множества IP-адресов потеряет смысл.

В ближайших планах Mozilla – запуск DoH в Firefox по умолчанию «для небольшого процента пользователей» в США, начиная с сентября 2019 г. На следующем этапе разработчики планируют отслеживать возможные проблемы, и только после их устранения будут подключать более широкую аудиторию: «Если все пойдет хорошо, мы сообщим вам, когда будем готовы к 100-процентному развертыванию».

Как это работает

Для блокировки сайтов провайдерам или регуляторам требуется знать доменное имя (URL), получаемое через DNS-запрос, и IP-адрес блокируемого ресурса. В случае, если DNS-запрос скрыт шифрованием – например, с помощью протокола DNS-over-HTTPS, провайдер не сможет блокировать конкретный ресурс из-за скрытого от него URL.


Сравнение нынешней системы DNS и DNS-over-HTTPS

Другой вид блокировки – по IP-адресу – регулярно практикуется провайдерами и регуляторами. В частности, Роскомнадзор блокировал и затем был вынужден разблокировать миллионы IP-адресов облачной площадки Amazon Web Services в рамках борьбы с мессенджером Telegram.

В случае, если заблокированный ресурс предоставит один IP-адрес для открытого DNS-запроса и другой для DNS-запроса с шифрованием по протоколу DNS-over-HTTPS, блокировки также станут бессильны. Техническими партнерами в этом могут выступать современные CDN-провайдеры (Content Delivery Network – сеть доставки контента), такие как, например, Cloudflare.


Схема работы протокола TLS 1.3 со включенным Encrypted SNI

Незашифрованный URL также может быть перехвачен через поле запроса SNI (Server Name Indication) – специального расширения протокола TLS, в котором есть возможность сообщить имя хоста в процессе «рукопожатия» для открытия криптографически защищенной SSL-сессии. Для этих целей разработан и уже внедрен в Firefox стандарт зашифрованной передачи имени хоста – Encrypted SNI (ESNI), где клиентская система получает публичный ключ сервера из DNS и производит шифрование всех данных еще до начала TLS-сессии. CDN-провайдер Cloudflare, который также поддерживает эту технологию, представил ее подробное описание в своем блоге.

Перспективы DoH в Firefox

Mozilla начала работать над протоколом DNS-over-HTTPS в 2017 г. С июня 2018 г. компания проводит эксперименты в Firefox для обеспечения достаточно высокой производительности браузера со включенным DoH.

Несмотря на планы включения в Firefox протокола DNS-over-HTTPS по умолчанию, разработчики браузера намерены продвигать новую функцию осторожно, с учетом всех существующих нюансов. В частности, протокол DoH будет автоматически отключен в случае, если пользователь выбрал в настройках браузера функцию родительского контроля.

В Mozilla пояснили, что работают с провайдерами функций родительского контроля, включая интернет-провайдеров, для добавления в их списки встроенной в Firefox системы родительского контроля – так называемого канареечного домена. Если Firefox определит, что канареечный домен заблокирован, то есть, включен родительский контроль, браузер автоматически отключит DoH.

На начальном этапе планируется развертывание DoH в резервном режиме: если поиск по доменному имени с использованием DoH не удался, Firefox откатится и вернется к настройкам операционной системы для определения DNS по умолчанию.

Точно так же Firefox отключит протокол DoH в случае, если обнаружит настройки корпоративных политик, запрещающих такие настройки.

Развиваемый в Эдинбургском университете фреймворк машинного перевода Marian, построенный на базе рекуррентной нейронной сети. Фреймворк написан на языке C++, может задействовать GPU для ускорения обучения и перевода, и поставляется под лицензией MIT.
Созданный в Пражском университете инструментарий Neural Monkey для обработки информации на естественном языке с использованием методов последовательного машинного обучения. Проект применяет фреймворк TensorFlow и может использоваться для быстрого создания прототипов систем машинного перевода и классификации информации на естественном языке. Код доступен под лицензией BSD.
Подготовленный в Шеффилдском университете проект QuEst++, применяемый для оценки и прогнозирования качества систем машинного перевода.
Развиваемые в Mozilla синтезатор речи (TTS) и движок распознавания речи (Deep Speech)
Финансируемый Евросоюзом проект ParaCrawl, накапливающий базу синхронных переводов различных фраз на разных языках, которую можно использовать для тренировки систем машинного обучения. Основой проекта является бот bitextor, который индексирует многоязычные web-сайты и автоматически находит одинаковые тексты, представленные на нескольких языках. База примеров параллельных переводов формируется для 24 языков, в том числе для русского (БД для русского языка занимает 637MB в сжатом виде и включает более 12 млн примеров перевода).

Разработка Bergamot началась в январе этого года, но наработки проекта пока недоступны для публичного тестирования. Тем не менее, несколько дней назад разработчики опубликовали видео с демонстрацией начального прототипа.

[youtube]https://youtu.be/ptmLzVeU0dk[/youtube]

Напомним, что в Firefox уже имеется встроенный механизм для перевода страниц, но он завязан на использовании внешних облачных сервисов (поддерживаются Google, Yandex и Bing) и не активирован по умолчанию (для включения в about:config следует изменить настройки "browser.translation"). Механизм перевода в том числе поддерживает автоматическое определение языка при открытии страницы на неизвестном языке и выводит специальный индикатор с предложением осуществить перевод страницы. Развиваемый в рамках проекта Bergamot прототип системы перевода использует этот же интерфейс для взаимодействия с пользователем, но вместо обращения к внешним сервисам запускается встроенный обработчик.