Abo
  • Services:

Daniel Stenberg: DNS über HTTPS ist für Endnutzer

Die Übertragung von DNS-Informationen über HTTPS sei nicht nur sicherer als Alternativen, sondern vor allem gut für den Endnutzer, sagt Curl-Entwickler Daniel Stenberg. Noch seien aber nicht alle Probleme mit der Technik gelöst.

Artikel veröffentlicht am ,
DoH ist laut Daniel Stenberg eine gute Methode zur DNS-Auflösung für Nutzer.
DoH ist laut Daniel Stenberg eine gute Methode zur DNS-Auflösung für Nutzer. (Bild: tlsmith1000, flickr.com/CC-BY-SA 2.0)

Seit dem Frühjahr 2017 haben die Beteiligten der Internet Engineering Task Force (IETF) den Vorschlag diskutiert, DNS-Informationen über das verschlüsselte HTTPS-Protokoll zu übertragen und dieses als DNS-over-HTTPS (DoH) schließlich im vergangenen Herbst als Internet-Standard veröffentlicht. Der Entwickler Daniel Stenberg ist für große Teile der DoH-Implementierung im Firefox-Browser zuständig gewesen und erklärte auf der Fosdem-Konferenz die Vorteile der Technik. Diese liegen aus Sicht des Entwicklers vor allem beim Endnutzer.

Inhalt:
  1. Daniel Stenberg: DNS über HTTPS ist für Endnutzer
  2. Probleme für Nutzer und Admins

Bisher werden DNS-Anfragen und -Informationen fast ausschließlich unverschlüsselt übertragen und sind damit zumindest theoretisch angreifbar. Alternative Techniken wie DNSSEC, die diese Informationen zwar authentifizieren, aber nicht verschlüsseln, konnten sich im Bereich der Endnutzer darüber hinaus nie durchsetzen.

Bisherige Versuche zum Verschlüsseln von DNS haben darüber hinaus weitere Probleme. So ist etwa DNSCrypt nie bei der IETF standardisiert worden und wird ebenfalls vergleichsweise wenig genutzt. Mit dem Standard DNS-über-TLS habe die IETF zwar nun auch einen verschlüsselten Übertragungsweg standardisiert. Dies wird aber über einen eindeutigen Port abgewickelt, was sich laut Stenberg relativ einfach blocken lässt und so Nutzern im Zweifel auch nicht helfen kann.

DoH läuft dagegen auf den üblichen HTTP-Ports, also 443 oder auch 80, lässt sich damit nicht von normalem Web-Traffic unterscheiden und kann auch nicht über eine Portsperre blockiert werden. Wie erwähnt sind die übertragenen Daten dann aber nicht nur verschlüsselt, sondern durch die Wiederverwendung der TLS-Infrastruktur samt Zertifikaten auch impliziert authentifiziert. Vertraut der Nutzer dem Betreiber des DoH-Endpunkts und dessen Zertifikat, sollte auch den so erhaltenen DNS-Informationen vertraut werden.

Explizites Vertrauen vom Nutzer

Stellenmarkt
  1. via 3C - Career Consulting Company GmbH, Frankfurt am Main
  2. Bosch Gruppe, Schwieberdingen

Vor allem dieser letztgenannte Punkt ist für Stenberg wohl entscheidend. Denn in der bisher üblichen Konfiguration der Nutzer wird der DNS-Server per DHCP automatisch im System über ein unverschlüsseltes Protokoll zugewiesen. Selbst wenn Nutzer dennoch einen anderen DNS-Server verwenden, geschieht dies in den meisten Fällen eben auch unverschlüsselt und nicht authentifiziert über das alte DNS-Protokoll.

Im Gegensatz dazu können sich Nutzer von DoH explizit für einen selbstgewählten DNS-Endpunkt entscheiden, dem sie vertrauen, was zudem durch das Zertifikat garantiert werden kann. Nutzer haben damit die Möglichkeit zur bewussten Entscheidung für einen vertrauenswürdigen DNS-Server. Das ist so bisher nicht umsetzbar gewesen.

Stenberg, der inzwischen nicht mehr für Mozilla arbeitet, sondern für WolfSSL, ging in seinem Vortrag aber auch auf damit verbundene Risiken und häufig geäußerte Kritik ein. Diese betreffen einerseits technisch-theoretische Überlegungen sowie andererseits praktische Auswirkungen der Verwendung von DoH.

So wird gegen DoH etwa vorgetragen, dass es sich dabei um eine Verletzung des üblichen Protokollstapels handele. Laut Stenberg stimmt das zwar, ist aber wenig relevant. Immerhin setzt DoH schlicht ein neue Idee um. Darüber hinaus wird oft kritisiert, dass DoH zur Zentralisierung der DNS-Infrastruktur beitrage, was laut Stenberg aber nicht stimmt.

Er räumt zwar ein, dass es derzeit mit Google, Cloudflare und nur sehr wenigen anderen Alternativen kaum Server-Anbieter für DoH gebe; das sei aber kein inhärentes Problem von DoH. Wie bisher schon mit DNS könne im Prinzip jeder mit Zugriff auf einen Server auch einen DoH-Endpunkt umsetzen. Einige freie Software stehe dafür schon bereit.

Probleme für Nutzer und Admins 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. (-62%) 11,50€
  2. 32,99€
  3. 32,25€ (5% Extra-Rabatt mit Gutschein GRCCIVGS (Uplay-Aktivierung))
  4. 32,99€ (erscheint am 15.02.)

megazocker 04. Feb 2019 / Themenstart

Muss man auch nicht weils ja jeder bekannte Browser implementiert hat soweit ich weis...

Nigcra 04. Feb 2019 / Themenstart

Lass die 'Newfags' doch machen.. und in 20 Jahren regen sie sich dann über die jungen...

freebyte 04. Feb 2019 / Themenstart

Ein Switch isoliert grundsätzlich die Nutzdaten zwischen den Ports, wer den "gesamten...

ikhaya 04. Feb 2019 / Themenstart

Ich denke das wird man über https://github.com/systemd/systemd/issues/8639 und Ähnliches...

ikhaya 04. Feb 2019 / Themenstart

Die Formulierung ist nicht genau genug ja.

Kommentieren


Folgen Sie uns
       


Royole Flexpai - Hands on (CES 2019)

Das Flexpai von Royole ist das erste kommerziell erhältliche Smartphone mit faltbarem Display. Ein erster Kurztest des Gerätes zeigt, dass es noch einige Probleme mit der Software hat.

Royole Flexpai - Hands on (CES 2019) Video aufrufen
Asana-Gründer im Gespräch: Die Konkurrenz wird es schwer haben, zu uns aufzuschließen
Asana-Gründer im Gespräch
"Die Konkurrenz wird es schwer haben, zu uns aufzuschließen"

Asana ist aktuell recht erfolgreich im Bereich Business-Software - zahlreiche große Unternehmen arbeiten mit der Organisationssuite. Für Mitgründer Justin Rosenstein geht es aber nicht nur ums Geld, sondern auch um die Unternehmenskultur - nicht nur bei Asana selbst.
Ein Interview von Tobias Költzsch


    Elektromobilität: Der Umweltbonus ist gescheitert
    Elektromobilität
    Der Umweltbonus ist gescheitert

    Trotz eines spürbaren Anstiegs zum Jahresbeginn kann man den Umweltbonus als gescheitert bezeichnen. Bislang wurden weniger als 100.000 Elektroautos gefördert. Wenn der Bonus Ende Juni ausläuft, sind noch immer einige Millionen Euro vorhanden. Die Fraktion der Grünen will stattdessen Anreize über die Kfz-Steuer schaffen.
    Eine Analyse von Dirk Kunde

    1. Elektromobilität Nikola Motors kündigt E-Lkw ohne Brennstoffzelle an
    2. SPNV Ceské dráhy will akkubetriebene Elektrotriebzüge testen
    3. Volkswagen Electrify America nutzt Tesla-Powerpacks zur Deckung von Spitzen

    Tesla: Kleiner Gewinn, ungewisse Zukunft
    Tesla
    Kleiner Gewinn, ungewisse Zukunft

    Tesla erzielt im vierten Quartal 2018 einen kleinen Gewinn. Doch mit Entlassungen, Schuldenberg, Preisanhebungen beim Laden, Wegfall des Empfehlungsprogramms und zunehmendem Wettbewerb durch andere Hersteller sieht die Zukunft des Elektroauto-Herstellers durchwachsen aus.
    Eine Analyse von Dirk Kunde

    1. Tesla Model 3 Tesla macht alle Varianten des Model 3 günstiger
    2. Kundenprotest Tesla senkt Supercharger-Preise wieder
    3. Stromladetankstellen Tesla erhöht Supercharger-Preise drastisch

      •  /