DNS über HTTPS erklärt: was es tut und was es nicht schützt

Klassisches DNS hat eine Eigenart beim Datenschutz, die Menschen überrascht: Ihre Abfragen reisen als einfacher, lesbarer Text. Jedes Netzwerk zwischen Ihnen und dem Resolver (der Router im Café, Ihr Anbieter, ein kompromittierter Hotspot) kann sehen, welche Namen Sie fragen, und im Prinzip die Antworten verändern. DNS über HTTPS, meist zu DoH abgekürzt, hüllt diese Abfragen in dieselbe Verschlüsselung, die Ihr Browser schon für Websites verwendet.

DoH ist wirklich nützlich, aber es wird auch weithin überverkauft. Es schützt ein bestimmtes Segment eines bestimmten Gesprächs. Genau zu verstehen, welches Segment das ist, sagt Ihnen sowohl, was es wert ist, als auch, was es nie für Sie tun würde.

Die drei Wege, auf denen eine Abfrage reisen kann

Ihr Gerät spricht in der Regel nicht direkt mit dem DNS des Internets. Eine Anwendung fragt den Stub-Resolver des Betriebssystems, und der Stub fragt einen rekursiven Resolver, den Dienst, den Ihr Netzwerk zugewiesen hat oder den Sie gewählt haben. So funktioniert DNS-Auflösung geht diese Kette vollständig durch. DoH verändert, wie der Stub mit dem Resolver spricht:

Der praktische Unterschied zwischen DoT und DoH dreht sich meist um das Aufgehen im Verkehr und darum, wer die Einstellung kontrolliert. DoT kündigt sich auf einem dedizierten Port an, sodass ein Netzwerk es bewusst erlauben oder blockieren kann. DoH fährt im normalen Webverkehr mit, was es für ein Netzwerk schwerer macht, es herauszugreifen, und es wird üblicherweise pro Anwendung konfiguriert (ein Browser kann DoH verwenden, während der Rest des Systems es nicht tut) statt nur systemweit.

Was DoH schützt

Mit eingeschaltetem DoH ist der Abschnitt zwischen Ihrem Gerät und dem Resolver verschlüsselt und authentifiziert: Das lokale Netzwerk kann die Namen, die Sie abfragen, nicht mehr lesen, und es kann die Antworten auf ihrem Rückweg nicht still umschreiben. In einem Netzwerk, dem Sie nicht vertrauen (öffentliches WLAN ist der Lehrbuchfall), ist das eine echte Verbesserung, denn das lokale Netzwerk war zuvor der leichteste Ort, um Abfragen zu beobachten oder zu manipulieren.

DoH authentifiziert auch den Resolver selbst, auf dieselbe Weise, wie HTTPS eine Website authentifiziert. Ihr Stub weiß, dass er wirklich mit dem Resolver spricht, den er beabsichtigte, und nicht mit einem Betrüger, den das lokale Netzwerk eingeschoben hat. Beim klassischen DNS existiert diese Sicherheit schlicht nicht; eine gefälschte Antwort, die zuerst ankommt, wird akzeptiert.

Was DoH nicht schützt

Drei Grenzen sind wichtig, und keine ehrliche Erklärung sollte sie auslassen:

• Der Resolver sieht weiterhin alles. Die Verschlüsselung läuft zwischen Ihnen und dem Resolver, also liest der Resolver notwendigerweise jede Abfrage, um sie zu beantworten. DoH verlagert Ihr Vertrauen vom lokalen Netzwerk und Ihrem Anbieter zum Betreiber des Resolvers; es beseitigt die Notwendigkeit von Vertrauen nicht.
• Das Ziel bleibt sichtbar. Nach der Abfrage verbindet sich Ihr Gerät mit der IP-Adresse der Seite, und Netzwerke können beobachten, mit welchen Adressen Sie sich verbinden, selbst wenn sie die Namen nicht sehen können. Verschlüsseltes DNS verbirgt die Frage, nicht die Reise, die folgt.
• Nur dieser eine Abschnitt ist abgedeckt. Sobald der Resolver Ihre Abfrage hat, holt er die Antwort in Ihrem Namen von autoritativen Servern. DoH sagt nichts über diese Seite des Gesprächs, und es verschlüsselt nicht den Webverkehr selbst: Das bleibt die Aufgabe von HTTPS und TLS auf der Verbindung zur Seite.

DoH ist nicht DNSSEC, und keines ersetzt das andere

Diese beiden Technologien werden ständig verwechselt, weil beide DNS und Sicherheit betreffen, aber sie lösen entgegengesetzte Probleme. DoH liefert Vertraulichkeit: Es hält das Gespräch zwischen Ihnen und dem Resolver privat. DNSSEC liefert Authentizität: Es erlaubt einem Resolver zu prüfen, dass eine Antwort wirklich vom Eigentümer der Domain kam und unterwegs nirgendwo verändert wurde, mittels digitaler Signaturen, die im DNS selbst veröffentlicht sind.

Ein verschlüsselter Kanal, der eine gefälschte Antwort trägt, ist immer noch eine gefälschte Antwort, und deshalb kann DoH allein nicht beweisen, dass eine Antwort wahr ist. Und eine signierte, prüfbare Antwort kann trotzdem offen reisen, und deshalb hält DNSSEC allein nichts privat. Zusammen verwendet, decken sie die Lücken des jeweils anderen; so funktioniert DNSSEC behandelt die Signaturseite im Detail.

Ein stilles Detail: was geschieht, wenn DoH ausfällt

Implementierungen von verschlüsseltem DNS wählen im Allgemeinen zwischen zwei Verhaltensweisen, wenn der verschlüsselte Weg ausfällt. In einem opportunistischen Modus fällt das Gerät still auf klassisches DNS zurück, sodass Abfragen weiter funktionieren, aber ihren Schutz ohne sichtbare Beschwerde verlieren. In einem strengen Modus weigert sich das Gerät zurückzufallen, und Namen lösen sich einfach nicht mehr auf, bis der verschlüsselte Dienst wieder erreichbar ist. Keines von beiden ist ein Defekt: Das erste tauscht Privatheit gegen Zuverlässigkeit, das zweite macht den umgekehrten Tausch. Aber es lohnt sich zu wissen, welches Verhalten Ihr Browser oder Ihr System nutzt, denn ein opportunistischer Rückfall bedeutet, dass Ihr Schutz genau in den feindlichen Netzwerken verschwinden kann, in denen Sie ihn am meisten wollten, und man würde es Ihnen nie sagen.

Wo DoH konfiguriert wird

DoH lebt dort, wo der Stub-Resolver konfiguriert wird, was in der Praxis den Browser und das Betriebssystem bedeutet. Viele Browser haben ihre eigene Einstellung für verschlüsseltes DNS und können es standardmäßig einschalten, mit einem Resolver, den der Browser gewählt hat; auch Betriebssysteme bieten zunehmend eine systemweite Option für verschlüsseltes DNS. Diese Aufteilung erklärt eine häufige Verwirrung: Ein Browser kann DoH verwenden, während andere Anwendungen auf derselben Maschine weiter klassisches DNS nutzen, sodass eine Prüfung auf Netzwerkebene beides auf einmal zeigen kann.

Nach der Umstellung: Wer kann noch was sehen

Eine kompakte Art, das Gesamtbild gerade zu halten, ist, die Runde der Beobachter durchzugehen und zu fragen, was jeder Einzelne erfährt, sobald DoH aktiv ist:

Die Tabelle erklärt auch die Debatte, die DoH überallhin begleitet. Abfragen aus dem lokalen Netzwerk wegzuverlagern konzentriert sie bei weniger, größeren Resolvern, was gut ist, um einem feindlichen Hotspot zu entkommen, und weniger offensichtlich gut als allgemeine Gestalt für das Internet. Keine Seite dieser Debatte ändert die Mechanik oben; sie ändert, welcher Resolver Ihrer Entscheidung nach das Vertrauen verdient, das das lokale Netzwerk früher standardmäßig bekam.

Ein praktisches Beispiel: eine Abfrage, zwei Wege

Verfolgen Sie eine einzelne Abfrage für shop.example.com von einem Laptop im Café-WLAN. Der Name muss aufgelöst werden, bevor irgendetwas anderes geschehen kann, und die IP-Suche der Domain würde die Adressen zeigen, die der Resolver am Ende zurückgibt. Was sich zwischen den beiden folgenden Wegen unterscheidet, ist nur die Leitung, durch die die Frage reist.

Mit klassischem DNS sendet der Laptop die Frage als einfaches UDP an den Resolver des Cafés. Der Zugangspunkt, die Router-Firmware des Cafés und alles, was Datenverkehr in diesem Netzwerk protokolliert, kann die Frage vollständig lesen: Dieses Gerät hat gerade nach shop.example.com gefragt. Wenn irgendein Gerät auf dem Weg die Antwort umschreibt und den Namen auf 198.51.100.20 statt auf die echte 203.0.113.44 zeigen lässt, akzeptiert der Laptop sie, ohne irgendeine Möglichkeit, den Unterschied zu erkennen.

Mit DoH öffnet der Laptop eine HTTPS-Verbindung zu seinem gewählten Resolver und sendet dieselbe Frage darin. Das Café-Netzwerk sieht eine verschlüsselte Verbindung zu einer Resolver-Adresse auf Port 443, in ihrer Gestalt nicht von gewöhnlichem Webverkehr zu unterscheiden; der Name darin erscheint nie. Die zurückkommende Antwort reist innerhalb dieser authentifizierten Verbindung, sodass eine Middlebox im lokalen Netzwerk nicht 198.51.100.20 unterschieben kann, ohne die Verbindung vollständig zu brechen, was der Laptop bemerken würde.

Beachten Sie, was sich auf dem zweiten Weg nicht geändert hat. Der Resolver selbst hat die Frage weiterhin gelesen, weil er es musste. Und sobald der Laptop die Antwort hat, öffnet er eine Verbindung zu 203.0.113.44 in voller Sicht desselben Café-Netzwerks: Die Frage wurde privat, die anschließende Reise nicht. Dieses Paar von Tatsachen ist die ganze Geschichte von DoH in Miniatur.

Sollten Sie es einschalten?

Für die meisten Menschen ja, mit offenen Augen. In Netzwerken, die Sie nicht kontrollieren, beseitigen verschlüsselte Abfragen den leichtesten Abhör- und Manipulationspunkt für fast keine Kosten. Halten Sie nur die Rechnung gerade: Sie wählen einen Resolver-Betreiber, dem Sie mit Ihren Abfragen vertrauen, und die Privatheit Ihres übrigen Verkehrs hängt weiter davon ab, dass die Seiten selbst HTTPS verwenden. DoH ist eine solide Verbesserung an einem Abschnitt der Auflösungskette, und das, nicht mehr und nicht weniger, ist, was es verspricht.