Oblivious DNS over HTTPS (ODoH): ein Versuch, die DNS-Privatsphäre zu verbessern

Domain Name System oder DNS ist ein dezentrales Benennungssystem für all die verschiedenen Websites, die im Internet existieren. Es ist eines der wesentlichen Bausteine des Internets und ist seit mehr als drei Jahrzehnten im Einsatz. Im Laufe dieser Zeit wurde das System mit gültigen Argumenten hinsichtlich der Implementierung und der damit verbundenen Datenschutzbedenken kritisiert. Infolgedessen gab es einige Versuche, diese Bedenken anzugehen.

Ein solcher Versuch — und ein sehr aktueller — ist die Einführung des DNS over HTTPS (DoH) Protokolls, das verspricht, die DNS-Kommunikation durch die Übertragung in verschlüsselter Form zu sichern. Während DoH theoretisch vielversprechend aussieht und eines der Probleme mit DNS behebt, bringt es unbeabsichtigt ein weiteres Anliegen ans Licht. Um dies zu beheben, haben wir nun ein weiteres neues Protokoll, genannt Oblivious DNS over HTTPS (ODoH), das gemeinsam von Cloudflare, Apple und Fastly entwickelt wurde. Oblivious DoH ist im Grunde eine Erweiterung des DoH-Protokolls, die die DNS-Anfragen von den IP-Adressen (des Benutzers) entkoppelt, um zu verhindern, dass der DNS-Resolver die Websites kennt, die ein Benutzer besucht — eine Art [mehr dazu später].

“ Was ODoH bewirken soll, ist die Trennung der Informationen darüber, wer die Anfrage stellt und was die Anfrage ist,” sagte Nick Sullivan, Leiter der Forschung bei Cloudflare, in einem Blog.

Oblivious DNS over HTTPS (oder ODoH)

Bevor wir direkt darauf eingehen, was ODoH ist, lassen Sie uns zunächst verstehen, was DNS und anschließend DNS over HTTPS ist und welche Einschränkungen die beiden mit sich bringen.

DNS (Domain Name System)

Domain Name System oder DNS ist ein dezentrales System zur Aufbewahrung von Aufzeichnungen aller Websites im Internet. Man kann es sich wie ein Verzeichnis (oder Telefonbuch) für Telefonnummern vorstellen, das eine Liste von Telefonabonnenten und deren entsprechenden Telefonnummern enthält.

Im Hinblick auf das Internet ist DNS ein entscheidender Akteur bei der Etablierung eines Systems, das es Ihnen ermöglicht, auf eine Website zuzugreifen, indem Sie einfach ihren Domainnamen eingeben, ohne sich an die zugehörige IP (Internetprotokoll) Adresse erinnern zu müssen. Dadurch können Sie techpp.com in das Adressfeld eingeben, um diese Seite anzuzeigen, ohne sich an ihre IP-Adresse erinnern zu müssen, die etwa so aussehen könnte wie 103.24.1.167 [nicht unsere IP]. Sie sehen, es ist die IP-Adresse, die erforderlich ist, um eine Verbindung zwischen Ihrem Gerät und der Website, auf die Sie zugreifen möchten, herzustellen. Da eine IP-Adresse jedoch nicht so leicht zu merken ist wie ein Domainname, besteht die Notwendigkeit eines DNS-Resolvers, um Domainnamen in ihre zugehörigen IP-Adressen aufzulösen und die angeforderte Webseite zurückzugeben.

Problem mit DNS

Obwohl DNS den Internetzugang vereinfacht, hat es einige Mängel — der größte davon ist der Mangel an Privatsphäre (und Sicherheit), der ein Risiko für die Benutzerdaten darstellt und sie dem ISP oder einem bösen Buben im Internet aussetzt. Der Grund, warum dies möglich ist, liegt darin, dass die DNS-Kommunikation (DNS-Anfrage/Abfrage und Antwort) unverschlüsselt erfolgt, was bedeutet, dass sie im Klartext stattfindet und daher von jedem, der sich dazwischen befindet (zwischen dem Benutzer und dem ISP), abgefangen werden kann.

DoH (DNS over HTTPS)

Wie eingangs erwähnt, wurde das DNS over HTTPS (DoH) Protokoll eingeführt, um dieses (Sicherheits-) DNS-Anliegen anzugehen. Im Grunde genommen sorgt das Protokoll dafür, dass die DNS-Kommunikation — zwischen dem DoH-Client und dem DoH-basierten Resolver — nicht im Klartext erfolgt, sondern verwendet Verschlüsselung, um die Kommunikation zu sichern. Dadurch gelingt es, den Zugang der Benutzer zum Internet zu sichern und die Risiken von Man-in-the-Middle-Angriffen — bis zu einem gewissen Grad — zu reduzieren.

Problem mit DoH

Während DoH das Problem der unverschlüsselten Kommunikation über DNS angeht, wirft es ein Datenschutzproblem auf — nämlich, dass der DNS-Dienstanbieter die vollständige Kontrolle über Ihre Netzwerkdaten hat. Denn da der DNS-Anbieter als Mittelsmann zwischen Ihnen und der Website, auf die Sie zugreifen, fungiert, hält er eine Aufzeichnung Ihrer IP-Adresse und der DNS-Nachrichten. In gewisser Weise wirft das zwei Bedenken auf. Erstens lässt es eine einzige Entität mit Zugang zu Ihren Netzwerkdaten zurück — was es dem Resolver ermöglicht, alle Ihre Anfragen mit Ihrer IP-Adresse zu verknüpfen, und zweitens, aufgrund des ersten Bedenken, macht es die Kommunikation anfällig für einen einzelnen Punkt des Versagens (Angriff).

ODoH-Protokoll und seine Funktionsweise

Das neueste Protokoll, ODoH, das gemeinsam von Cloudflare, Apple und Fastly entwickelt wurde, zielt darauf ab, das Zentralisierungsproblem des DoH-Protokolls zu lösen. Zu diesem Zweck schlägt Cloudflare vor, dass das neue System die IP-Adressen von DNS-Anfragen trennt, sodass keine einzelne Entität, außer dem Benutzer, beide Informationen gleichzeitig einsehen kann.

ODoH geht dieses Problem an, indem es zwei Änderungen implementiert. Es fügt eine Schicht der Public-Key-Verschlüsselung und einen Netzwerkproxy zwischen dem Client (Benutzer) und dem DoH-Server hinzu. Dadurch wird behauptet, dass nur der Benutzer Zugang zu sowohl den DNS-Nachrichten als auch den IP-Adressen zu einem bestimmten Zeitpunkt hat.

Kurz gesagt, ODoH fungiert als Erweiterung des DoH-Protokolls, die Folgendes erreichen soll:

i. verhindern, dass der DoH-Resolver weiß, welcher Client welche Domainnamen angefordert hat, indem die Anfragen über einen Proxy geleitet werden, um die Adressen der Clients zu entfernen,

ii. verhindern, dass der Proxy die Inhalte der Anfragen und Antworten kennt, und den Resolver daran hindern, die Adressen der Clients zu kennen, indem die Verbindung in Schichten verschlüsselt wird.

Nachrichtenfluss mit ODoH

Um den Nachrichtenfluss mit ODoH zu verstehen, betrachten Sie die Abbildung oben, in der ein Proxy-Server zwischen dem Client und dem Ziel sitzt. Wie Sie sehen können, wenn der Client eine Anfrage (sagen wir example.com) anfordert, geht diese an den Proxy-Server, der sie dann an das Ziel weiterleitet. Das Ziel erhält diese Anfrage, entschlüsselt sie und generiert eine Antwort, indem es die Anfrage an den (rekursiven) Resolver sendet. Auf dem Rückweg verschlüsselt das Ziel die Antwort und leitet sie an den Proxy-Server weiter, der sie dann anschließend an den Client zurücksendet. Schließlich entschlüsselt der Client die Antwort und erhält eine Antwort auf seine angeforderte Anfrage.

In diesem Setting erfolgt die Kommunikation — zwischen dem Client und dem Proxy sowie dem Proxy und dem Ziel — über HTTPS, was die Sicherheit der Kommunikation erhöht. Nicht nur das, die gesamte DNS-Kommunikation, die über beide HTTPS-Verbindungen — Client-Proxy und Proxy-Ziel — stattfindet, ist Ende-zu-Ende verschlüsselt, sodass der Proxy keinen Zugang zu den Inhalten der Nachricht hat. Das gesagt, während sowohl die Privatsphäre als auch die Sicherheit des Benutzers in diesem Ansatz berücksichtigt werden, hängt die Garantie, dass alles wie vorgeschlagen funktioniert, von einer ultimativen Bedingung ab — der Proxy und der Zielserver dürfen nicht kolludieren. Daher schlägt das Unternehmen vor, dass „solange es keine Kollusion gibt, ein Angreifer nur dann erfolgreich ist, wenn sowohl der Proxy als auch das Ziel kompromittiert sind.“

Laut einem Blog von Cloudflare garantiert die Verschlüsselung und das Proxying Folgendes:

i. Das Ziel sieht nur die Anfrage und die IP-Adresse des Proxys.

ii. Der Proxy hat keine Sichtbarkeit in die DNS-Nachrichten, ohne die Fähigkeit, entweder die vom Client gesendete Anfrage oder die Antwort, die vom Ziel zurückgegeben wird, zu identifizieren, zu lesen oder zu ändern.

iii. Nur das beabsichtigte Ziel kann den Inhalt der Anfrage lesen und eine Antwort erzeugen.

ODoH-Verfügbarkeit

Oblivious DNS over HTTPS (ODoH) ist derzeit nur ein vorgeschlagenes Protokoll und muss von der IETF (Internet Engineering Task Force) genehmigt werden, bevor es im Web übernommen wird. Obwohl Cloudflare vorschlägt, dass es bisher Unternehmen wie PCCW, SURF und Equinix als seine Proxy-Partner gewonnen hat, um bei der Einführung des Protokolls zu helfen, und dass es die Möglichkeit hinzugefügt hat, ODoH-Anfragen über seinen 1.1.1.1 DNS-Dienst entgegenzunehmen, ist die Wahrheit, dass Sie es nicht verwenden können, solange Webbrowser das Protokoll nicht nativ unterstützen. Denn das Protokoll befindet sich noch in der Entwicklungsphase und wird auf Leistung über verschiedene Proxys, Latenzebenen und Ziele getestet. Aus diesem Grund könnte es keine weise Entscheidung sein, das Schicksal von ODoH sofort zu entscheiden.

Basierend auf den verfügbaren Informationen und Daten scheint das Protokoll vielversprechend für die Zukunft von DNS zu sein — vorausgesetzt, es gelingt ihm, die Art von Privatsphäre zu erreichen, die es verspricht, ohne die Leistung zu beeinträchtigen. Da es mittlerweile sehr offensichtlich ist, dass das DNS, das eine entscheidende Rolle im Funktionieren des Internets spielt, immer noch unter Datenschutz- und Sicherheitsproblemen leidet. Und trotz der jüngsten Hinzufügung des DoH-Protokolls, das verspricht, den Sicherheitsaspekt von DNS zu verbessern, scheint die Akzeptanz aufgrund der damit verbundenen Datenschutzbedenken noch weit entfernt zu sein.

Aber wenn ODoH es schafft, seinen Ansprüchen in Bezug auf Privatsphäre und Leistung gerecht zu werden, kann seine Kombination mit DoH, während sie zusammenarbeiten, sowohl die Datenschutz- als auch die Sicherheitsbedenken des DNS ansprechen. Und damit es viel privater und sicherer machen als es heute ist.