Microsoft: Windows bekommt native Unterstützung für DNS über HTTPS

Der DNS-Client in Windows bekommt Unterstützung für das verschlüsselte DNS über HTTPS (DoH). Nutzer sollen dabei ähnlich wie im Chrome-Browser auf den DOH-Server ihres bisherigen DNS-Server migriert werden, falls verfügbar.

Artikel veröffentlicht am 18. November 2019, 16:55 Uhr, Sebastian Grüner

Die DNS-Auflösung von Windows geht künftig auch per DoH. (Bild: Kreg Steppe, flickr.com/CC-BY-SA 2.0)

Das für das Core Networking in Windows zuständige Entwicklerteam hat in seinem Blog angekündigt, künftig das verschlüsselte DNS-Protokoll DNS über HTTPS (DoH) im Standard-DNS-Client des Betriebssystems zu unterstützen. Microsoft macht das, weil "die Unterstützung verschlüsselter DNS-Abfragen in Windows eine der letzten verbleibenden Klartext-Übertragungen von Domänennamen im allgemeinen Webverkehr schließen soll", wie es in der Ankündigung heißt.

Bei DoH handelt es sich, wie der Name sagt, um ein Protokoll zur Übertragung von DNS-Anfragen und -Antworten per HTTPS an einen entsprechenden Server, der schließlich die Namensauflösung durchführt. Dank der Verwendung von HTTPS kann einerseits die bestehende HTTP-Infrastruktur wiederverwendet werden, andererseits geschieht die Übertragung verschlüsselt, im Gegensatz zum bisherigen DNS.

Der DoH-Support von Windows soll laut Microsoft dabei zunächst so funktional wie möglich gestaltet werden, so dass weder Nutzer noch Admins etwas an ihrer bisherigen Konfiguration ändern müssen. Um dieses Ziel umzusetzen, sollen DoH-Server nur dann auch tatsächlich als Resolver genutzt werden, wenn diese Resolver schon jetzt von den Nutzern über das alte DNS verwendet werden. Windows kann diese Migration nun automatisch durchführen.

DoH nach den Browser auch im Betriebssystem

Dieses Vorgehen erinnert dabei an jenes, das auch Google für seinen Chrome-Browser benutzt. Im Gegensatz dazu wird Firefox-Hersteller Mozilla sämtliche seiner US-Nutzer künftig auf DoH migrieren, wobei standardmäßig die Dienste von Cloudflare als Resolver genutzt werden. Das auf Sicherheit fokussierte Projekt OpenBSD hat deshalb die Nutzung von DoH im Firefox deaktiviert.

Die OpenBSD-Entwickler und andere kritisieren außerdem den Alleingang der Browser, die die DNS-Auflösung am Betriebssystem vorbei durchführen. Microsoft bietet aber als erster großer Hersteller auch DoH zur DNS-Auflösung über Boardmittel an. Wann der Code erstmals in einem Insider-Build von Windows bereitstehen wird, ist noch offen. Das Team wollte möglichst früh über seine Pläne informieren und Feedback sammeln.