Cloudflare, Apple und Fastly teilen DNS-Wissen mit einem Proxy, sodass niemand sieht, wer gefragt hat

Dan Goodin von Ars Technica berichtete, dass Cloudflare, Apple und das Content-Delivery-Network Fastly Oblivious DNS over HTTPS (ODoH) eingeführt haben, eine Änderung am Domain Name System, die verhindern soll, dass Anbieter und Lauscher sehen, welche Adressen Nutzer besuchen. DNS over HTTPS und DNS over TLS verschlüsseln bereits Lookups, doch ein kleiner Kreis von Anbietern kann weiterhin die Internetnutzung von potenziell Milliarden Menschen protokollieren. Da der Anbieter sowohl die Abfrage als auch die IP-Adresse des anfragenden Computers sieht, kann er weiterhin umfassende Profile erstellen.

ODoH platziert einen Netzwerk-Proxy zwischen Nutzern und dem DNS-Resolver. Der Client verschlüsselt seine Abfrage für den Ziel-Resolver mit HPKE, wobei der öffentliche Schlüssel des Ziels über DNS bezogen wird. Der Proxy leitet die verschlüsselte Abfrage weiter und kann sie nicht lesen. Das Ziel entschlüsselt sie, antwortet und verschlüsselt die Antwort, die über den Proxy zurückkehrt. Nur der Nutzer hat Zugriff auf sowohl die Anfrage als auch die IP-Adresse, die sie gesendet hat.

Cloudflare berichtete, dass in einer Studie der zusätzliche Aufwand von ODoH gegenüber einer über einen Proxy geleiteten DoH-Abfrage am 99. Perzentil weniger als 1 Millisekunde betrug. Die Unternehmen arbeiteten mit der Internet Engineering Task Force auf einen Industriestandard hin.

Die Abfrage für den Resolver verschlüsseln und sie über einen Proxy weiterleiten, sodass keine einzelne Partei jemals sowohl die von einem Nutzer besuchten Seiten als auch dessen Identität in Händen hält.

DoH und DoT schützen vor Netzwerklauschern, aber nicht vor dem Resolver selbst.

Nur wenige Anbieter bieten verschlüsseltes DNS an, was das Datenschutzrisiko bei ihnen konzentriert.

Ein Proxy, der nicht entschlüsseln kann, und ein Resolver, der die Client-Adresse nicht sehen kann, halten die beiden Fakten getrennt.

Nachrichten bleiben Ende-zu-Ende verschlüsselt, obwohl sie zwei getrennte HTTPS-Verbindungen durchlaufen.

Wenn einer Partei nicht mit zwei verknüpften Fakten vertraut werden kann, verteile die Fakten auf zwei Parteien, sodass keine sie zusammenführen kann.

Ars beschrieb ODoH Ende 2020 als Arbeit im Gange: Die Leistungskosten des Proxys und der Verschlüsselung wurden noch gemessen, Firefox und andere hatten Interesse gezeigt, und Google und Microsoft fehlten. Es hieß, das Fehlen dieser Akteure deute darauf hin, dass das Protokoll noch einen weiten Weg vor sich habe.