Wer Ihre DNS-Abfragen sieht

Die vorige Lektion verfolgte eine DNS-Abfrage von Ihrem Mac zu einem Resolver und zurück. Diese Reise ist standardmäßig nicht privat. Das Cloudflare Learning Center ist unmissverständlich: „Standardmäßig werden DNS-Abfragen und -Antworten im Klartext gesendet (über UDP), was bedeutet, dass sie von Netzwerken, Internetanbietern oder jedem, der die Übertragung überwachen kann, gelesen werden können. Selbst wenn eine Website HTTPS verwendet, ist die DNS-Abfrage, die zum Navigieren zu dieser Website nötig ist, offengelegt.“

Stellen Sie sich eine gewöhnliche, unverschlüsselte DNS-Abfrage wie eine per Post verschickte Postkarte vor: Jeder, der die Post bearbeitet, kann zufällig einen Blick auf den Text auf der Rückseite erhaschen.

Cloudflare Learning Center

Wer diese Postkarte lesen kann

Diese letzte Zeile ist wichtig und wird oft übersehen: Der Wechsel weg vom Resolver eines ISP macht DNS nicht privat, er verlagert nur die Sichtbarkeit. Die Electronic Frontier Foundation drückt es bei der Diskussion DNS-basierter Sperren unmissverständlich aus: „Ihr neuer DNS-Anbieter erhält die Informationen über Ihr Surfverhalten, die zuvor Ihr ISP hatte, was ein Datenschutzproblem sein kann.“ Jemand beantwortet jede Abfrage; die Frage ist, wer, und was diese Person mit diesem Datensatz tut.

Warum eine Namensabfrage selbst bei HTTPS wichtig ist

HTTPS verschlüsselt den Inhalt einer Seite und den genauen Pfad, den Sie auf einer Website anfordern, verschlüsselt aber nicht die DNS-Abfrage, die zuerst geschieht, um überhaupt die Adresse dieser Seite zu finden. Selbst bei einer vollständig verschlüsselten Verbindung ist also die Abfolge der von Ihrem Gerät abgefragten Seitennamen, und wann das geschah, oft für jeden sichtbar, der das Netzwerk beobachtet oder den Resolver betreibt — genau die Art von Metadaten, die der Einführungskurs dieser Universität beschreibt: nicht der Inhalt dessen, was Sie lesen, sondern ein Protokoll, wohin Sie gegangen sind.

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns listet den Resolver (oder die Resolver) auf, an die Ihr Mac derzeit Abfragen für jede Art von Netzwerk sendet, in dem er sich befindet. Das ist eine nützliche erste Prüfung, bevor Sie annehmen, wer Ihre Abfragen sehen kann: Die Antwort hängt vollständig davon ab, welcher Resolver konfiguriert ist, und dieser kann sich bei ISP-, WLAN- und VPN-Verbindungen ändern, ohne dass Sie es bemerken.