Top-Fragen
Zeitleiste
Chat
Kontext

DNS over HTTPS

Protokoll zur Durchführung einer DNS-Auflösung Aus Wikipedia, der freien Enzyklopädie

Remove ads

DNS over HTTPS (kurz DoH) bezeichnet ein Verfahren, bei dem Anfragen des Domain Name System (DNS) über das verschlüsselte HTTPS geschickt werden. Die Namensauflösung wird damit in denselben Kanal verlegt, über den auch normale Webinhalte übertragen werden. Ziel ist unter anderem, es Dritten zu erschweren, DNS-Anfragen mitzulesen oder zu verändern, etwa im Rahmen eines Man-in-the-Middle-Angriffs.[1]

Standardisiert wurde DoH im Oktober 2018 durch die Internet Engineering Task Force (IETF) als RFC 8484.[2] Es ist damit einer von mehreren Ansätzen, DNS-Anfragen zu verschlüsseln; dazu gehören auch DNS over TLS (DoT) sowie das auf QUIC basierende DNS over QUIC (DoQ).[3] Mit RFC 9230[4] wurde später Oblivious DNS over HTTPS (ODoH) eingeführt, bei dem ein vorgeschalteter Proxy verhindern soll, dass ein einzelner Server gleichzeitig die IP-Adresse des Clients und den Inhalt seiner DNS-Anfragen kennt.[4]

DNS over HTTPS wird inzwischen von verschiedenen öffentlichen DNS-Resolvern angeboten und von mehreren Webbrowsern und Betriebssystemen unterstützt.[5][6] Befürworter sehen darin vor allem einen Gewinn für den Schutz der Privatsphäre bei der Namensauflösung,[7] Kritiker verweisen dagegen auf mögliche Nachteile für Netzwerksicherheit, betriebliche Überwachung, Inhaltsfilter und auf eine zunehmende Konzentration von DNS-Diensten bei wenigen großen Anbietern.[8]

Remove ads

Unterschiede zu anderen Protokollen

Zusammenfassung
Kontext

DNS-Abfragen werden traditionell überwiegend unverschlüsselt übertragen, meist über das UDP, in bestimmten Fällen auch über TCP.[9] Zur Verschlüsselung der Namensauflösung existieren mehrere Ansätze, die sich vor allem darin unterscheiden, über welches Transportprotokoll DNS übertragen wird und wie der Verkehr im Netzbetrieb behandelt werden kann.

DNS over HTTPS nutzt HTTPS als Transport und wird in der Praxis häufig über denselben Port wie normaler HTTPS-Webverkehr (Port 443) betrieben.[10] Dadurch kann die Namensauflösung über etablierte Webinfrastruktur abgewickelt werden; zugleich lässt sich DoH-Verkehr in vielen Netzen nicht allein anhand einer dedizierten Portnummer vom übrigen HTTPS-Verkehr unterscheiden.[10]

DNS over TLS (DoT) überträgt DNS über eine mit TLS gesicherte Verbindung und nutzt dafür standardmäßig Port 853.[11] Im Unterschied zu DNS over HTTPS wird DNS dabei nicht in HTTP eingebettet, sondern als eigenes Protokoll über TLS transportiert.[11]

DNS over QUIC (DoQ) überträgt DNS über QUIC und ist als RFC 9250 standardisiert. RFC 9250 legt dafür standardmäßig UDP-Port 853 fest (abweichende Ports sind per Vereinbarung möglich).[12]

DNSCrypt verschlüsselt und authentifiziert DNS-Verkehr zwischen Client und Resolver über ein eigenes Protokoll. DNSCrypt ist – anders als DoH, DoT und DoQ – bislang nicht als IETF-Standard (RFC) veröffentlicht; eine Beschreibung existiert jedoch als IETF-Internet-Draft („Work in Progress“).[13]

Remove ads

Implementierungen

Der Browser Mozilla Firefox enthält seit Version 60 die Option, DoH zu aktivieren.[14][15] Mozilla stellt in Zusammenarbeit mit Cloudflare einen DoH-Server bereit, der strenge Privatsphäre-Anforderungen erfüllen muss.[16]

Für Chrome gibt es seit Version 78 ebenfalls eine experimentelle Einstellung zur Nutzung von DoH.[17]

Unter Android gab es, anders als für DNS over TLS, bis Juli 2022 keine mitgelieferte Unterstützung für DNS over HTTPS auf Betriebssystemsebene. Diese wurde für Android ab Version 11 nachgereicht.[18]

Die Benutzung von DNS over HTTPS ist per Eingabe in die Standard-Netzwerk-Dialog-Eingabemaske des User-Interfaces der regulären Windows-11-Version möglich. Dabei ist ebenfalls Discovery of Designated Resolvers (DDR) benutzbar und über Konsole konfigurierbar. DDR ist dabei für die automatische Konfiguration von DoH verantwortlich – ähnlich dem DHCP-Standard.[19]

Seit MacOS Ventura und iOS 16 sind DoT sowie DoH mit dem DDR Encrypted Initial Kontakt standardmäßig benutzbar und ohne Konsoleneingriff in MacOS nutzbar.[20]

Remove ads

Siehe auch

Weblinks

Remove ads

Einzelnachweise

Loading related searches...

Wikiwand - on

Seamless Wikipedia browsing. On steroids.

Remove ads
Remove ads