Lücken in der DNS-Verschlüsselung finden und schließen
Viele Betriebssysteme, Browser und Router verschlüsseln DNS-Anfragen. Apps können diese Einstellungen ignorieren. So finden und beheben Sie DNS-Lecks.
(Bild: KI Dall-E, Midjourney | Collage c’t)
- Ronald Eikenberg
Spätestens seit Snowden ist klar, dass man möglichst alles verschlüsseln sollte, was man durchs Internet schickt. Dies gilt besonders für die DNS-Kommunikation: Sie gibt detailliert Aufschluss darüber, welche Websites Sie ansteuern und welche Dienste Sie verwenden. Denn mit jeder Website, die Sie aufrufen, verschickt Ihr Browser zahlreiche DNS-Anfragen an einen Resolver, um die IP-Adressen der verwendeten Domains zu erfragen, bevor er diese kontaktieren kann – er fragt zum Beispiel nach heise.de und bekommt als Antwort die IP 193.99.144.80. Darüber hinaus sind die DNS-Anfragen ein gefundenes Fressen für Angreifer, denn wer sie manipulieren kann, der kann Sie auch in die Falle auf seinen präparierten Server lotsen.
Die gute Nachricht ist, dass dieses Problem längst gelöst ist und es mehrere Verfahren gibt, um DNS-Verkehr vor Schnüfflern und Angreifern zu schützen: Die Signiertechnik DNSSEC verhindert Manipulationen an DNS-Antworten und stellt sicher, dass die Antwort von einer vertrauenswürdigen Quelle stammt. Zusätzlich können aktuelle Betriebssysteme, die meisten Browser und manche Router den DNS-Verkehr bis zum Resolver auf eine oder mehrere Arten verschlüsseln. Zu den gängigen Verfahren gehören DNS-over-HTTPS (DoH) und DNS-over-TLS (DoT). Darüber hinaus gibt es das schnelle, aber seltene DNS-over-QUIC (DoQ), das anonymisierende Oblivious-DNS und noch proprietäre DNS-Verschlüsselungen wie DNSCrypt. Die DNS-Verschlüsselung lässt sich oft mit wenigen Klicks einschalten, etwa in den Windows-Einstellungen. Netzwerk-Know-how ist dafür nicht nötig.
Es gibt aber auch eine weniger gute Nachricht: Dass die DNS-Verschlüsselung im Betriebssystem eingeschaltet ist, bedeutet nicht, dass alle DNS-Anfragen verschlüsselt sind. Das zeigt der beschriebene Fall, den wir bei einer Analyse des Netzwerkverkehrs eines Testrechners entdeckten. Wenn man nämlich in den Netzwerkeinstellungen des Windows-11-Systems DoH aktiviert, verschicken diverse Chromium-Browser wie Google Chrome und Microsoft Edge sowie Electron-Apps ihre DNS-Anfragen trotzdem im Klartext. So können Schnüffler in Internet-Drehkreuzen wie dem DE-CIX und Angreifer im lokalen Netz die aufgerufenen Websites leicht mitschneiden.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Kurztests: Software für Aufgabenplanung, Zeiterfassung und Screenrecording
Kostenlos hochwertige KI-Musik erzeugen: Das leisten Suno und Udio
Günstigerer Strom für die Wärmepumpe: Was Sie jetzt wissen müssen
Prepaid, Debit, Credit: Wie Sie die passende Kreditkarte finden
Schöner sehen: Fünf 4K-Monitore mit USB-C für den Mac im Test
MSI Claw: Gaming-Handheld mit neuartiger Intel-Grafik im Test
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Kurztests: Software für Aufgabenplanung, Zeiterfassung und Screenrecording
Kostenlos hochwertige KI-Musik erzeugen: Das leisten Suno und Udio
Günstigerer Strom für die Wärmepumpe: Was Sie jetzt wissen müssen
Prepaid, Debit, Credit: Wie Sie die passende Kreditkarte finden
Schöner sehen: Fünf 4K-Monitore mit USB-C für den Mac im Test