mozilla：云端 doh 比传统 dns 更安全 性能差别不大-尊龙凯时官方旗舰店

mozilla 今年3月时，在 firefox nightly 版本进行了 doh(dns over https)与传统 dns 的比较实验，探讨后者是否能被前者取代，结果显示虽然 doh 服务平均比传统 dns 慢6毫秒，但是相比之下，doh 不止服务更安全，而且在极端情况下，甚至能比传统 dns 的回应还快几百毫秒。

现在的浏览器用户依赖不够安全的传统 dns 协议来访问目标网站，可能面临被追踪(tracking)或是欺骗(spoofing)等风险。mozilla 引用了2018年 usenix 安全研讨会的论文，研究显示 dns 服务现在正受到严重的干扰，而且面临各种资料收集的隐私威胁。firefox 开发了 doh 技术，让浏览器从一个或多个可信任的服务中获取 dns 信息，以提供高安全与高隐私的 dns 服务。

由于以可信任的 doh 云端服务取代传统 dns 是一个剧烈的改变，在选择 doh 服务器时需要考虑很多因素，因此 mozilla 对此展开了测试，主要想了解两个问题，第一个，使用 doh 是否能取代传统 dns？第二个，使用 doh 是否会出现额外的连接错误？在7月的时候有约 25000 名 firefox nightly 63 使用者参与了 cloudflare 与 mozilla 共同举行的测试，测试总共收集到了超过十亿条的 doh 数据，目前测试已结束。

结果显示，与传统 dns 相比，和云端服务供应商合作使用 https 发出 dns 请求，在无缓存的 dns 查询上，性能影响很小，大多数的查询只慢了约6毫秒，但从权衡安全性和保护隐私数据的角度出发，这是可以被接受的成本。而且在某些情况下，甚至能比传统 dns 还快几百毫秒。

另外，这个测试除了解性能方面的影响，还考虑了连接错误率，在软故障(soft-fail)模式下使用 doh 云端服务的用户，和传统 dns 用户相比，错误连接率并没有明显差异。软故障模式主要使用 doh，当域名无法正确解析或是 doh 提供的地址连接失败时，便退回使用传统 dns。

mozilla 提到，他们正努力于创造一个可信任的 doh 供应商生态，以满足较高标准的数据处理需求，后续会在一组供应商中或是依照地理位置划分 dns 传输，这项试验可能会在不久之后进行。