Handelsverbände , und , die die Interessen der Internetdienstanbieter vertreten, an den US-Kongress mit der Bitte, auf das Problem der Einführung von „DNS über HTTPS“ (DoH, DNS over HTTPS) aufmerksam zu machen und Google um detaillierte Informationen zu den aktuellen und zukünftigen Plänen zur Integration von DoH in seinen Produkten zu bitten, sowie um ein Bekenntnis zu erbitten, zentralisierte DNS-Abfragen in Chrome und Android nicht standardmäßig ohne vorherige umfassende Diskussion mit anderen Vertretern des Ökosystems und Berücksichtigung möglicher negativer Folgen einzuführen.
In der Erkenntnis des allgemeinen Nutzens von Verschlüsselungen für DNS-Traffic halten die Verbände es für unzulässig, die Kontrolle über die Namensauflösung in einer Hand zu konzentrieren und diesen Mechanismus standardmäßig mit zentralisierten DNS-Diensten zu verknüpfen. Insbesondere wird behauptet, dass Google darauf hinarbeitet, DoH standardmäßig in Android und Chrome einzuführen, was bei einer Verknüpfung mit Google-Servern die dezentralisierte Natur der DNS-Infrastruktur gefährden und einen Single Point of Failure schaffen könnte.
Da Chrome und Android den Markt dominieren, würde Google im Falle der Durchsetzung seiner DoH-Server die Möglichkeit erhalten, einen Großteil des DNS-Anfrageverkehrs der Nutzer zu kontrollieren. Neben der Verringerung der Zuverlässigkeit der Infrastruktur würde ein solcher Schritt Google auch ungerechtfertigte Vorteile gegenüber seinen Wettbewerbern verschaffen, da das Unternehmen zusätzliche Informationen über das Nutzerverhalten erhalten würde, die zur Verfolgung der Aktivitäten der Nutzer und zur Anpassung relevanter Werbung genutzt werden könnten.
Die Anwendung von DoH kann auch Probleme in Bereichen wie Kindersicherungssysteme, den Zugang zu internen Namensräumen in Unternehmenssystemen, die Routenwahl in Content-Delivery-Optimierungssystemen und die Durchsetzung von gerichtlichen Anordnungen zur Bekämpfung der Verbreitung illegaler Inhalte und der Ausbeutung von Minderjährigen verursachen. Auch die Manipulation von DNS wird häufig verwendet, um Nutzer auf Seiten mit Informationen über das Ablaufen ihres Guthabens oder zum Zugang zu einem Drahtlosnetzwerk umzuleiten.
Google , dass die Bedenken unbegründet sind, da sie DoH nicht standardmäßig in Chrome und Android aktivieren möchte. In Chrome 78 wird die experimentelle Standardaktivierung von DoH nur Benutzer umfassen, die DNS-Anbieter in ihren Einstellungen angegeben haben, die DoH als Alternative zu traditionellen DNS-Servern anbieten. Bei denen, die die von ihrem lokalen Internetanbieter bereitgestellten DNS-Server verwenden, werden DNS-Anfragen weiterhin über den systemeigenen Resolver gesendet. Das bedeutet, dass Googles Maßnahmen lediglich darauf abzielen, den aktuellen Dienst des Anbieters durch einen gleichwertigen Dienst zu ersetzen, um auf eine sichere DNS-Nutzung umzusteigen. Die experimentelle Aktivierung von DoH ist auch in Firefox geplant, aber im Gegensatz zu Google hat Mozilla standardmäßig den DNS-Server CloudFlare. Dieser Ansatz hat bereits Reaktionen seitens des OpenBSD-Projekts hervorgerufen.
Es sei daran erinnert, dass DoH nützlich sein kann, um das Leck von Informationen über angeforderte Hostnamen durch DNS-Server der Anbieter zu verhindern, Man-in-the-Middle-Angriffe und DNS-Traffic-Manipulation (z. B. bei der Verbindung zu öffentlichen WLANs) zu bekämpfen, DNS-Blockaden entgegenzuwirken (DoH kann ein VPN im Bereich der Umgehung von Blockaden, die auf DPI-Ebene implementiert sind, nicht ersetzen) oder um einen Betrieb zu organisieren, wenn ein direkter Zugriff auf DNS-Server nicht möglich ist (z. B. bei der Arbeit über einen Proxy).
Wenn in der Regel DNS-Anfragen direkt an die im System konfigurierte DNS-Server gesendet werden, wird bei DoH die Anfrage zur Bestimmung der IP-Adresse des Hosts in den HTTPS-Traffic gekapselt und an einen HTTP-Server gesendet, wo der Resolver die Anfragen über eine Web-API bearbeitet. Der bestehende Standard DNSSEC verwendet Verschlüsselung nur zur Authentifizierung des Clients und Servers, schützt jedoch den Traffic nicht vor Abhörung und garantiert keine Vertraulichkeit der Anfragen. Derzeit unterstützen etwa DoH.
Quelle: opennet.ru
