Verschlüsseltes DNS: Falschmeldung in Propagandaschlacht um DNS über HTTPS

Mehrere Medien melden unter Berufung auf eine chinesische Sicherheitsfirma, dass Malware das DNS-over-HTTPS-Protokoll zur Verschleierung von Datenverkehr nutzt. Es ist eine Falschmeldung, aber selbst wenn sie stimmen würde, wäre es kein Argument gegen DoH.

Eine Analyse von veröffentlicht am
Eine Schadsoftware mit dem Namen Godlua verschlüsselt DNS-Anfragen, allerdings nicht über das DoH-Protokoll.
Eine Schadsoftware mit dem Namen Godlua verschlüsselt DNS-Anfragen, allerdings nicht über das DoH-Protokoll. (Bild: Ximeg, Wikimedia Commons/CC-BY-SA 3.0)

Das Protokoll DNS over HTTPS oder DoH ermöglicht es, Nameserver-Anfragen verschlüsselt über das HTTPS-Protokoll zu verschicken. Es wurde im vergangenen Jahr standardisiert und ist nicht unumstritten. Einige Nachrichten, die das Protokoll mit Malware in Verbindung bringen, heizen nun die Debatte an. Es gibt nur ein Problem: Die Meldungen stimmen nicht.

Stellenmarkt
  1. SAP Entwickler (m/w/d) als Solutionmanager PM/AIN / PDMS
    BIM Berliner Immobilienmanagement GmbH, Berlin
  2. Mitarbeiter IT/IT-Systemadmnistrator (m/w/d)
    S-PensionsManagement GmbH, Köln
Detailsuche

Hintergrund der Diskussion ist eine Analyse der chinesischen Firma Qihoo 360. Eine Linux-Schadsoftware, die als Godlua bezeichnet wird, nutzt demnach HTTPS-Verbindungen, um DNS-Records aufzulösen.

Godlua-Malware nutzt selbstgestricktes Protokoll

Nun muss man auf die genaue Wortwahl achten. Zwar schreibt Qihoo 360 mehrfach von "DNS over HTTPS", gemeint ist damit aber offenbar nicht das im vergangenen Jahr standardisierte Protokoll. Vielmehr verwendet die Malware ein eigenes Protokoll, das DNS-Anfragen in HTTP-Requests kapselt, ein Server antwortet darauf mit einer JSON-Datenstruktur. Mit dem standardisierten DoH-Protokoll hat das nichts zu tun. Darauf hat der Curl-Entwickler Daniel Stenberg auf Twitter hingewiesen.

Doch die missverständliche Wortwahl von Qihoo 360 führt dazu, dass viele einen Zusammenhang herstellen, wo keiner ist. Auf Twitter behaupten Personen, dass es die erste Malware sei, die das DoH-Protokoll missbraucht, kurz darauf gibt es mehrere Medienberichte, die diesen Zusammenhang ebenfalls herstellen. Offenbar ist die Diskussion über DoH so aufgeheizt, dass die bloße Erwähnung von "DNS over HTTPS" im Zusammenhang mit Schadsoftware als Argument herangezogen wird.

Golem Akademie
  1. Scrum Product Owner: Vorbereitung auf den PSPO I (Scrum.org): virtueller Zwei-Tage-Workshop
    3.–4. März 2022, virtuell
  2. Einführung in die Programmierung mit Rust: virtueller Fünf-Halbtage-Workshop
    21.–25. März 2022, Virtuell
Weitere IT-Trainings

Doch das hier auftretende Missverständnis zeigt sehr deutlich, wie wenig das Argument taugt. Was ist passiert? Eine Schadsoftware verwendet einen verschlüsselten Datenkanal, um ihre DNS-Aktivität zu verschleiern. Das ging natürlich schon immer. Wenn eine Verbindung zum Internet besteht, kann eine Schadsoftware darüber kommunizieren und den Datenverkehr verschlüsseln. Ein standardisiertes Protokoll braucht es dafür nicht.

Es ist in dem Fall auch völlig unerheblich, ob ein Nutzer etwa im Webbrowser das DoH-Protokoll nutzt oder nicht. Die Malware könnte in jedem Fall verschlüsselt nach außen kommunizieren.

Bei der Diskussion um DoH geht es um verschiedene Dinge. Einigen ist das Protokoll ein Dorn im Auge, weil es die Filterung von DNS-Anfragen durch Provider unmöglich macht. Andere sehen vor allem in der Zentralisierung auf wenige DNS-Hoster ein Problem. Manche dieser Bedenken sind berechtigt, man sollte aber sachlich über sie diskutieren.

Untaugliches Argument in Diskussion über DoH

Offenbar suchen einige in der Debatte aber wahllos nach Gründen, um gegen DoH zu agitieren. Das Protokoll in einem Atemzug mit einer Malware zu nennen, scheint hier ein willkommener Anlass. Ein sinnvolles Argument ist es nicht.

Dass eine Malware verschlüsselte DNS-Verbindungen nutzt ist weder ein Argument für noch ein Argument gegen die Nutzung des DoH-Protokolls. Es ist dabei auch weitgehend unerheblich, ob dies über ein selbstgestricktes Protokoll wie bei Godlua passiert oder tatsächlich über das DoH-Protokoll.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


ikhaya 25. Jul 2019

443 braucht man fürs Web, wenn du irgendeinen dedizierten Port nimmst wie 853 f+r Dns...

bionade24 07. Jul 2019

Dann erklär bitte, warum dieser http-Overhead sinnvoll ist.

Xar 07. Jul 2019

Erklärung? klar, da Cloudflare ja auch DoT anbietet, MÜSSEN die Mozilla für DoH...

MarioWario 07. Jul 2019

und seitens FF um Datenauswertungen durch Cloudflare, da ich kein lahmes Cloudflare...

ldlx 06. Jul 2019

Oder per Gruppenrichtlinie. Da laesst sich auch gleich eine eigene DoH-URL mitgeben. Grad...



Aktuell auf der Startseite von Golem.de
Bundesservice Telekommunikation  
Die dubiose Adresse in Berlin-Treptow

Angeblich hat das Innenministerium nichts mit dem Bundesservice Telekommunikation zu tun. Doch beide teilen sich offenbar ein Bürogebäude.
Ein Bericht von Friedhelm Greis

Bundesservice Telekommunikation: Die dubiose Adresse in Berlin-Treptow
Artikel
  1. Reddit: IT-Arbeiter automatisiert seinen Job angeblich vollständig
    Reddit
    IT-Arbeiter automatisiert seinen Job angeblich vollständig

    Ein anonymer IT-Spezialist will unbemerkt seinen Job vollständig automatisiert haben. Dem Arbeitgeber sei dies seit einem Jahr nicht aufgefallen.

  2. E-Mail: Outlook-Suche in MacOS 12.1 ist noch immer kaputt
    E-Mail
    Outlook-Suche in MacOS 12.1 ist noch immer kaputt

    Seit Wochen ärgern sich Outlook-User darüber, dass die E-Mail-Suche unter MacOS 12.1 nicht mehr richtig funktioniert. Ein Fix ist in Arbeit.

  3. Spielebranche: Microsoft will Activision Blizzard übernehmen
    Spielebranche
    Microsoft will Activision Blizzard übernehmen

    Diablo und Call of Duty gehören bald zu Microsoft: Der Softwarekonzern will Activision Blizzard für rund 70 Milliarden US-Dollar kaufen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 wohl am 19.01. bestellbar • RTX 3080 12GB bei Mindfactory 1.699€ • Samsung Gaming-Monitore (u.a. G5 32" WQHD 144Hz Curved 299€) • MindStar (u.a. GTX 1660 6GB 499€) • Sony Fernseher & Kopfhörer • Samsung Galaxy A52 128GB 299€ • CyberGhost VPN 1,89€/Monat [Werbung]
    •  /