Sistem Penamaan Domain Wikimedia

Nama host	wikimedia-dns.org
Alamat IP (IPv4)	185.71.138.138
Alamat IP (IPv6)	2001:67c:930::1
Protokol yang didukung	DoH dan DoT

Tracked in Phabricator:
Task T252132

Penjelasan ringkas: Wiki-wiki Wikimedia diblokir atau pengguna mungkin dimata-matai ketika mereka menyunting. Ini adalah salah satu cara dimana tim SRE/Traffic Yayasan Wikimedia mencoba untuk menyelesaikan masalah-masalah tersebut.

Sistem Penamaan Domain Wikimedia (sebelumnya dikenal sebagai Wikidough), adalah sebuah layanan peladen publik DNS-over-HTTPS (DoH) dan DNS-over-TLS (DoT) yang dijalankan dan dikelola oleh tim Site Reliability Engineering (Traffic) di Yayasan. Sistem Penamaan Domain Wikimedia membantu mencegah sejumlah pengawasan dan penyensoran wiki kita dan situs web lainnya dengan mengamankan pencarian DNS.

Dokumen ini menguraikan apa yang dimaksud dengan layanan ini, mengapa tim SRE/Traffic bekerja pada hal itu, dan manfaat apa yang diberikan untuk komunitas Wikimedia. Kami menyambut setiap diskusi tentang proyek ini di halaman pembicaraan.

Pengantar Sistem Penamaan Domain

Apakah itu Sistem Penamaan Domain?

Sistem Penamaan Domain (DNS) adalah buku telepon internet. Dia menyediakan pencarian nama domain (seperti wikipedia.org) terhadap alamat IP (208.80.154.224). Kapanpun Anda mengunjungi sumber daya di internet seperti sebuah situs web, sebuah peladen nama — umumnya dijalankan oleh Penyelenggara Jasa Internet (ISP) — mencari padanan domain terhadap sebuah alamat IP dan ini adalah langkah pertama dalam penciptaan koneksi menuju sebuah situs web. Tanpa alamat IP Anda tidak dapat menemukan situs web yang sesuai. Proses ini terjadi di latar belakang dan karena bagaimana internet bekerja, kebanyakan orang terhubung secara otomatis ke peladen Sistem Penamaan Domain untuk menjalankan pencarian DNS tersebut.

DNS adalah bagian penting dari internet dan pencarian DNS terjadi terlepas dari sumber daya yang ingin Anda akses atau dari mana Anda mengaksesnya (seluler atau telepon).

Pengawasan dan penyensoran berbasis DNS

Meskipun DNS telah ada selama beberapa dekade, sebuah permintaan DNS (apa alamat IP dari wikipedia.org?) dan balasannya (Alamat IP adalah 208.80.154.224) tidak terenkripsi. Ini adalah masalah privasi dan keamanan yang signifikan. Sebuah pengamat — seperti kedai kopi, ISP, atau pemerintah — dapat mengamati permintaan/balasan DNS dan membangun sebuah daftar sumber daya yang Anda akses di internet, dan mungkin lebih buruknya, menyensor Anda dengan mencegah akses terhadap konten yang menurut mereka tidak patut.

Karena kita peduli dengan sensor dalam konteks gerakan, Wikipedia dan proyek Wikimedia lainnya telah disensor melalui DNS dan ini telah diamati di berbagai negara di mana kita aktif. Sensor DNS mudah diterapkan, dapat berskala secara efektif, dan juga karena DNS adalah langkah pertama dalam koneksi ke sumber daya jarak jauh, sebagian besar ISP dan pemerintah menggunakan sensor DNS untuk mencegah orang mengakses konten di internet.

Sebagai sebuah contoh, menyensor permintaan untuk *.wikipedia.org untuk mencegah orang mengakses semua edisi bahasa Wikipedia sangat mudah diterapkan di perangkat lunak peladen DNS dan perubahan ini hanya satu baris.

Enkripsi DNS

Untuk memecahkan masalah pengawasan dan sensor DNS, berbagai protokol enkripsi DNS telah diusulkan selama bertahun-tahun. Karena berbagai alasan termasuk kurangnya standar, kemampuan beradaptasi, implementasi, tidak ada protokol yang diusulkan diadopsi secara luas sampai DNS-over-HTTPS diusulkan dan distandarisasi pada tahun 2018. Peramban Mozilla Firefox membantu mendorong adopsi DoH dengan mengaktifkannya secara default untuk pengguna di Amerika Serikat pada tahun 2020 dan sejak itu telah merilis ini ke negara lain juga.

DoH dan DoT

DNS-over-HTTPS, juga dikenal sebagai DoH, mengenkripsi DNS dengan mengirimkan permintaan dan menerima balasan melalui HTTPS, mencegah penyensoran dan pengawasan: karena pengamat tidak dapat melihat permintaan atau balasan, mereka tidak dapat menyensor atau membangun profil dari data tersebut. DoH bekerja dengan mengirimkan permintaan DNS melalui sebuah kanal HTTPS yang aman.

DNS-over-TLS, juga dikenal sebagai DoT, adalah sebuah protokol enkripsi DNS terkait melalui TLS. Protokol ini tidak diadopsi seluas DNS-over-HTTPS karena berbagai alasan yang akan didiskusikan berikutnya. Terlepas dari hal itu, kami menganggap bahwa kedua protokol ini relevan untuk tujuan diskusi ini dan layanan Sistem Penamaan Domain Wikimedia, meskipun terdapat sejumlah perbedaan di antara keduanya pada tingkatan protokol.

Untuk menggunakan teknologi enkripsi DNS baru ini, Anda membutuhkan klien yang mendukung DoH atau DoT dan sebuah peladen.

Sistem Penamaan Domain Wikimedia

Sistem Penamaan Domain Wikimedia adalah layanan peladen DNS publik dengan DNS-over-HTTPS dan DNS-over-TLS. Untuk pengguna yang ingin mengamankan pencarian DNS mereka untuk mencegah pengawasan atau untuk menghindari sensor berbasis DNS, Sistem Penamaan Domain Wikimedia membantu melindungi permintaan / jawaban DNS Anda dengan menyediakan enkripsi yang sama. Untuk pengguna yang mengamankan pencarian DNS mereka melalui Sistem Penamaan Domain Wikimedia, semua yang dapat dilihat oleh pengamat atau sensor di jalur adalah koneksi ke layanan DNS Wikimedia tetapi bukan konten dari pertanyaan atau jawaban DNS.

Sejarah Sistem Penamaan Domain Wikimedia

Tim SRE/Traffic di Yayasan Wikimedia bertugas menjalankan peladen proksi Wikimedia dan pusat-pusat data. Kami juga tertarik untuk memahami dimana dan bagaimana situs kami disensor di tingkat teknis. HTTPS menyebabkan sensor berdasarkan artikel tertentu tidak dapat dijalankan, memaksa mereka untuk memilih antara tidak memblokir atau seluruh situs web. Kami tidak berurusan dengan penyensoran konten dalam artikel-artikel — meskipun itu berkaitan — namun situs web/ekosistem secara keseluruhan.

Dalam mempelajari dan meneliti penyensoran terhadap situs web Yayasan, kami menemukan bahwa bentuk yang paling umum dalam penyensoran adalah dengan menyaring DNS. Ide untuk menjalankan sebuah layanan DNS terenkripsi yang aman lahir dari pengamatan tersebut. Rencana Berkala untuk tahun fiskal 2022–23, dibawah tujuan untuk Keamanan dan Inklusi, membicarakan mengenai "Menerapkan peningkatan teknis untuk memperkuat keamanan dan privasi sukarelawan dalam wiki, melindungi terhadap pengawasan, dan meningkatkan kemampuan komunitas untuk mengelola dan menjawab resiko disinformasi dan hak asasi manusia." Anda dapat mengikutinya pada Phabricator.

Pertanyaan yang sering ditanyakan mengenai Sistem Penamaan Domain Wikimedia

Mengapa Wikimedia menjalankan layanan ini?

Kami tidak dapat merekomendasikan layanan peladen eksternal seperti yang dijalankan oleh Google, Cloudflare, Quad9, antara lain, karena berbagai alasan. Kami tidak memiliki kendali bagaimana layanan ini dijalankan atau apa saja data pribadi yang dicatat. Meskipun sebagian besar layanan ini memiliki kebijakan privasi yang jelas, mereka mencatat beberapa data dan kami tidak memiliki kendali atau wawasan mengenai itu.

Selain itu, beberapa layanan ini menggunakan penyaringan konten. Layanan DNS Cloudflare untuk keluarga diketahui memblokir konten LGBTQ. Layanan lain juga menawarkan berbagai bentuk penyaringan konten.

Tim SRE siap untuk menjalankan layanan tersebut dan dapat memberikan alternatif yang dapat diandalkan untuk layanan peladen DNS yang aman yang dijalankan oleh perusahaan komersial.

Apakah proyek ini menyelesaikan semua isu penyensoran internet?

Tidak. Meskipun protokol DNS seperti DoH dan DoT mengenkripsi permintaan DNS antara klien Anda (seperti Firefox) dan peladen (Sistem Penamaan Domain Wikimedia), seorang pengamat di jalur (seperti ISP / pemerintah Anda) masih dapat mengidentifikasi situs web mana yang Anda sambungkan melalui baris SNI dalam pesan ClientHello (sekarang tidak terenkripsi) atau alamat IP situs web. Namun, mengingat bahwa sensor dan pengawasan berbasis DNS seringkali paling mudah diterapkan, mengamankan DNS Anda adalah langkah pertama yang baik untuk meningkatkan privasi Anda dan melawan penyensoran.

Ekstensi Encrypted Client Hello (ECH; sebelumnya disebut Encrypted SNI) ke TLSv1.3 mengenkripsi bidang SNI dan oleh karena cara kerjanya, ECH membutuhkan DNS yang terenkripsi untuk bekerja efektif. Jika digabungkan dan setelah dijalankan dengan benar, kedua teknologi ini akan membantu mengatasi masalah lama dengan privasi pengguna di internet. Meskipun ini tidak menyelesaikan semua masalah kita, kita juga perlu DNS terenkripsi untuk pekerjaan masa depan melawan pengawasan dan penyensoran untuk menjadi efektif.

Bukankah sebuah sensor dapat memblokir ini juga?

Ya, seorang sensor bisa saja memblokir Sistem Penamaan Domain Wikimedia. Tapi kami percaya bahwa menghubungkan DNS terenkripsi dengan Encrypted Client Hello (yang tergantung pada DNS terenkripsi) akan membuat pemblokiran situs web lebih sulit, sehingga membantu meminimalkan kemungkinan memblokir Sistem Penamaan Domain Wikimedia karena sensor tidak akan dapat lagi melihat SNI untuk itu. Selain itu, sebagian besar sensor biasanya tidak memblokir resolusi DNS, seperti yang diamati oleh prevalensi dan penggunaan 1.1.1.1 dan 8.8.8.8.

Sistem Penamaan Domain Wikimedia bukanlah solusi lengkap untuk semua masalah penyensoran. Ini hanya sebuah bagian dari strategi kami dalam memerangi penyensoran dan meskipun mungkin tidak membantu melindungi semua pengguna, itu akan membantu mengamankan pencarian DNS untuk sebagian besar dari mereka dan membantu meletakkan dasar untuk protokol yang akan datang.

Bisakah Anda menjelaskan lebih lanjut mengenai bagian ECH dan Client Hello?

Mari berasumsi bahwa Anda ingin tersambung ke id.wikipedia.org. Langkah pertama adalah resolusi DNS, sehingga sebuah peladen DNS akan memberikan kembali alamat IP dari id.wiki untuk Anda untuk membuat sambungan kepadanya. Langkah selanjutnya adalah proses dimana ketika Anda ingin tersambung ke alamat IP, anda harus memberikan indikasi nama peladen atau SNI juga, dimana pada kasus ini adalah id.wikipedia.org. Baris SNI ini, seperti DNS, selama ini tidak terenkripsi dan sebuah sensor yang memiliki kemampuan untuk melakukan inspeksi lalu lintas dapat melihat bahwa Anda sedang menyambung ke id.wiki dan mencegah Anda membuat koneksi tersebut.

Penyensoran berbasis SNI adalah bentuk yang paling umum untuk membatasi akses ke situs web (bukan hanya kita) setelah DNS, perbedaan adalah bahwa itu membutuhkan lebih banyak sumber daya dalam bentuk peralatan pemblokiran khusus yang melakukan inspeksi paket dalam lalu lintas sehingga tidak setiap sensor termotivasi untuk mengejarnya atau memiliki peralatan untuk dapat melakukannya.

Encrypted Client Hello (sebelumnya disebut Encrypted Server Name Indication atau ESNI), mengenkripsi baris SNI ini, mencegah sensor dari memblokir lalu lintas berdasarkan bidang SNI. ECH bergantung pada DNS terenkripsi untuk menjadi efektif karena distribusi kunci untuk ECH terjadi melalui catatan sumber daya DNS HTTPS. Jika tidak ada DNS terenkripsi, sensor dapat dengan mudah menyaring atau meracun hasil DNS, sehingga ECH tidak efektif. Peramban Firefox misalnya tidak akan mengaktifkan ECH jika DNS terenkripsi juga tidak diaktifkan.

Dengan demikian, pekerjaan di Sistem Penamaan Domain Wikimedia tidak hanya mengamankan DNS tetapi juga meletakkan dasar untuk implementasi masa depan protokol keamanan internet seperti ECH.

Apakah Saya perlu memasang perangkat lunak tambahan untuk menggunakan ini?

Semua sistem operasi desktop dan seluler utama dan peramban sudah mendukung DoH atau DoT pada tahun 2023. Pengguna perlu mengarahkan peramban/sistem operasi mereka ke Sistem Penamaan Domain Wikimedia tetapi tidak diperlukan perangkat lunak tambahan.

Belum ada mekanisme penemuan untuk DoH dan DoT, jadi konfigurasi masih manual; nama host atau alamat IP dari layanan adalah semua yang diperlukan untuk seseorang untuk dapat menggunakan layanan.

Jika Anda tidak ingin menggunakan Sistem Penamaan Domain Wikimedia tidak akan ada yang berubah untuk Anda.

Apa yang Saya butuhkan untuk menggunakan ini?

1. Sebuah klien yang mendukung DoH or DoT. Anda dapat menemukan sebuah daftar di sini.
2. URL layanan (https://wikimedia-dns.org/dns-query) atau alamat IP, IPv4: 185.71.138.138 atau IPv6: 2001:67c:930::1.
3. Atau DNS stamp: sdns://AgcAAAAAAAAADjE4NS43MS4xMzguMTM4ABF3aWtpbWVkaWEtZG5zLm9yZwovZG5zLXF1ZXJ5 (untuk menjangkau melalui IPv4) atau sdns://AgcAAAAAAAAAEVsyMDAxOjY3Yzo5MzA6OjFdABF3aWtpbWVkaWEtZG5zLm9yZwovZG5zLXF1ZXJ5 (untuk menjangkau melalui IPv6).

Apakah ini sebuah VPN?

Tidak. Menggunakan Sistem Penamaan Domain Wikimedia tidak menyebarluaskan isi komunikasi dan tidak mengubah alamat IP pengguna. Ini hanya mengamankan metadata, yang dalam hal ini adalah pencarian DNS.

Mengapa tidak menjalankan sebuah layanan VPN saja?

Mengoperasikan layanan VPN membutuhkan lebih banyak sumber daya dan membawa lebih banyak tanggung jawab, karena kita akan mengirimkan konten transmisi juga, bukan hanya metadata.

Ada juga masalah kegunaan dan aksesibilitas dengan VPN. Mereka yang tahu apa itu VPN dan dapat mengkonfigurasinya akan menggunakannya sedangkan kebanyakan pengguna lain tidak akan bisa melakukannya. Jadi jika kita menawarkan alat penolakan sensor, itu harus bekerja untuk semua orang dan sementara kita belum ada di sana dengan DoH atau DoT, protokol-protokol itu lebih terstandarisasi dan lebih mudah digunakan daripada mengatur dan menjalankan klien VPN.

Apakah ini mempengaruhi penyamaran IP atau peralatan melawan vandalisme lainnya?

Tidak. Sistem Penamaan Domain Wikimedia tidak mempengaruhi mereka dengan cara apapun. Checkuser, steward dan lainnya masih akan memiliki akses ke informasi yang sama tentang editor jika mereka menggunakan Sistem Penamaan Domain Wikimedia seperti apabila mereka tidak.

Apakah ini membutuhkan sebuah nama pengguna/kata sandi atau bentuk lain otentikasi?

Tidak, hanya nama host atau alamat IP. Ini adalah layanan publik dan bisa digunakan oleh siapa saja.

Apakah ini bisa dibatasi hanya untuk komunitas Wikimedia?

Tidak, kita tidak punya cara teknis untuk membatasi akses ke layanan. Siapa pun dengan nama host/alamat IP dapat menggunakannya.

Dapatkah ini memungkinkan aktor jahat di internet untuk mengamankan pencarian DNS mereka?

Ya, Sistem Penamaan Domain Wikimedia, seperti layanan DNS lainnya (termasuk yang dijalankan oleh ISP Anda), dapat digunakan oleh aktor jahat untuk menjalankan resolusi DNS dan mengamankan pencarian DNS mereka. Perlu dicatat bahwa Sistem Penamaan Domain Wikimedia hanya memberikan metadata untuk komunikasi (nomor telepon) namun tidak terlibat dalam komunikasi yang sebenarnya (panggilan telepon). jadi kegunaan yang disediakan oleh Sistem Penamaan Domain Wikimedia untuk aktor jahat cukup terbatas ketika mereka memiliki lebih banyak peralatan untuk mengamankan konten komunikasi, seperti layanan VPN gratis dan komersial atau proksi lainnya.

Sistem Penamaan Domain Wikimedia adalah alternatif untuk penyedia DNS komersial yang sudah tersedia dan bukan satu-satunya layanan tersebut. Kebanyakan orang masih akan menggunakan Google dan Cloudflare untuk mengamankan pencarian DNS mereka karena layanan ini akan jauh lebih cepat daripada kita karena skala di mana mereka beroperasi.

Saya sudah mengkonfigurasi layanan. Bagaimana Saya dapat memastikan bahwa Saya menggunakannya?

Setelah Anda telah mengatur Sistem Penamaan Domain Wikimedia, Anda dapat mengunjungi https://check.wikimedia-dns.org/ untuk mengkonfirmasi bahwa permintaan DNS Anda berjalan melalui Sistem Penamaan Domain Wikimedia dan bukan peladen lokal / ISP Anda.

Anda juga dapat mengakses API langsung dari baris perintah: curl https://${RANDOM}.check.wikimedia-dns.org/check.

DoH vs DoT. Mana yang saya gunakan?

Sistem Penamaan Domain Wikimedia mendukung DoH pada TCP/443 dan DoT pada TCP/853. Pengguna dapat memilih salah satu protokol untuk mengamankan DNS mereka karena baik DoH maupun DoT memiliki jaminan privasi dan keamanan yang sama dalam Sistem Penamaan Domain Wikimedia, tetapi pengguna diingatkan untuk menyadari perbedaan antara kedua protokol itu sendiri.

• DoH berjalan di port 443 membuatnya lebih sulit untuk diblokir karena sensor harus memblokir semua lalu lintas HTTPS. DoT berjalan di port tersendiri, 853, sehingga lebih mudah untuk diblokir.

• Secara umum, dukungan DoH berada di dalam peramban (hanya melindungi pencarian DNS di dalam peramban saja), sedangkan pencarian DoT berjalan di tingkat sistem operasi, untuk semua aplikasi. DoT mungkin lebih dianjurkan kecuali apabila penyensoran menjadi masalah.

Petunjuk

Untuk mulai menggunakan Sistem Penamaan Domain Wikimedia, silakan lihat halaman lengkap Sistem_Penamaan_Domain_Wikimedia/Petunjuk Pemakaian.

Kebijakan privasi

Sistem Penamaan Domain Wikimedia masih dalam pengujian tahap beta dan evaluasi baik secara internal dan dalam lingkup komunitas. Oleh karenanya, belum ada jaminan kehandalan atau ketersediaan layanan di masa mendatang, dan juga belum ada kebijakan privasi yang resmi. Namun, konfigurasi terkini (terlihat disini: dnsdist.conf.erb atau recursor.conf.erb) tidak mencatat apapun.

Kami saat ini berniat, secara luas, untuk mematuhi nilai-nilai Yayasan yang sudah lama terkait dengan masalah privasi, serta kebijakan TRR Mozilla, ketika dan jika layanan ini diluncurkan secara lebih resmi di masa depan.

Rincian teknis

Anda dapat mencari sebuah daftar yang lebih lengkap mengenai fitur teknis pada halaman Wikitech namun ini adalah sebuah ringkasan:

• Ini adalah layanan anycast, berjalan di seluruh enam pusat data kami. Secara umum, Anda akan terhubung ke pusat data terdekat, bahkan jika Anda mengkonfigurasi dengan alamat IP.

• Sistem Penamaan Domain Wikimedia mendukung enkripsi kuat: TLSv1.3 dan TLSv1.2 (hanya AEAD) untuk DoH, dan TLSv1.3 untuk DoT. untuk klien genggam (atau klien yang memberikan prioritas untuknya), Sistem Penamaan Domain Wikimedia memprioritaskan ChaCha20-Poly1305.

• Ini dimaksudkan untuk menjadi layanan DNS yang aman dan kami tidak mendukung DNS yang tidak terenkripsi baik di UDP atau TCP dan tidak memiliki rencana untuk melakukannya.

• IPv6 didukung sepenuhnya.

Kode sumber

Penyebaran Sistem Penamaan Domain Wikimedia terkait dengan kode sumber dalam repositori Puppet. Modul dnsdist mencakup pemasangan dan konfigurasi instansi dnslist, modul dnsrecursor melakukan hal yang sama untuk instansi PowerDNS Recursor, dan keduanya dipanggil oleh Wikidough (kode nama) peran dan profil dan disesuaikan dengan data konfigurasi dari wikidough.yaml.

Berkas konfugurasi untuk dnsdist dapat ditemukan di dnsdist.conf.erb dan untuk PowerDNS Recursor di recursor.conf.erb.

Penyebaran saat ini

Sistem Penamaan Domain Wikimedia saat ini disebar di semua enam pusat data, berjalan pada dua mesin virtual Ganeti dengan load-balance ECMP (untuk total 12 VM). Ada dua belas mesin virtual tambahan untuk layanan pemeriksaan (check.wikimedia-dns.org) di atas.

Kontak

Proyek Sistem Penamaan Domain Wikimedia dipersembahkan oleh tim SRE/Traffic. Kami menerima pertanyaan, komentar, dan diskusi mengenai proyek di halaman Pembicaraan.

Untuk diskusi teknis mengenai proyek, silakan bergabung dengan kanal IRC kami: #wikimedia-traffic di Libera Chat. kontak surel untuk tim adalah wikimedia-dns@wikimedia.org.