===== Fefes Blog - DNS 1.1.1.1 ===== 

[[http://blog.fefe.de/?ts=a43ffcb6|Originalartikel]]


[[https://www.qgelm.de/wb2html/wb335.html|Backup]]

<html>
<ul><li><a href="http://blog.fefe.de/?ts=a43ffcb6">[l]</a> Old and busted: 8.8.8.8.
<p>New hotness: <a href="https://blog.cloudflare.com/announcing-1111/">1.1.1.1</a></p>
<p>Von der Performance her nehmen die sich nicht viel, beide antworten viel schneller als &#252;bliche DNS-Resolver von Internet-Providern.</p>
<p>Aber lasst euch mal nicht von dem "privacy-first"-Blablah t&#228;uschen. Das ist eine Behauptung, ein Versprechen. Google verspricht &#196;hnliches f&#252;r 8.8.8.8.</p>
<p>Der DNS-Server kann alles sehen, was ihr an Anfragen ins Netz stellt, und sieht damit, was man seit Snowden bei Telefonen "die Metadaten" nennt. Wer seine DNS-Daten ohne Not in fremde Hand gibt, gibt damit seine Privatsph&#228;re weitgehend auf.</p>
<p>Ich rate also entschieden davon ab, irgendeinen (gar zu einer ausl&#228;ndischen Organisation geh&#246;rende) DNS-Server zu verwenden &#8212; schon gar nicht aus Five-Eyes-Staaten.</p>
<p>OK, was sind die Alternativen? Den ISP-DNS benutzen. Das hat den Nachteil, dass die oft langsam sind, gerne mal ausfallen, und dass man m&#246;glicherweise auch nicht will, dass die Daten beim ISP anfallen. Letzteres kann man nur mit einem VPN verhindern (wobei dann der VPN-Endpunkt alle Daten sieht und zuordnen kann; auch nicht besser!) oder einem Anonymisierungsdienst wie Tor verhindern.</p>
<p>Ich pers&#246;nlich betreibe einen eigenen Resolver in meinem Netz.</p>
<p>Man muss sich aber im Klaren sein, dass auch am Anfang einer TLS-Verbindung noch der Name der Site im Klartext dransteht, d.h. auch ohne DNS kann jemand, der den Traffic sieht, sehen, mit welchem Host du zu reden versuchst, selbst wenn hinter der IP ganz viele Sites h&#228;ngen. Besserung war glaube ich f&#252;r TLS 1.3 geplant, <a href="https://tools.ietf.org/html/draft-ietf-tls-sni-encryption-02">hier ist ein aktueller Draft dazu</a>, aber scheint es nicht in den Standard geschafft zu haben&#8230;? Und das hat auch andere Probleme, wenn man das zumacht. Im Moment kann man einen Load Balancer bauen, der den TLS durchreicht, und der das richtige Backend am SNI erkennt (wo der gew&#252;nschte Servername steht), und dann wird der TLS im Backend terminiert. Das ist viel besser als wenn man den TLS im Load-Balancer terminiert und dann zum Backend unverschl&#252;sselt kommuniziert. Ein Angreifer, der den Load Balancer &#252;bernimmt, kann dann alle Anfragen sehen.</p>
<p>Wenn man das beibehalten will, muss man sich ziemlich verbiegen. Ihr k&#246;nnt ja selber man kurz in den Draft gucken.</p>
<p>Also, kurz gefasst: Seine DNS-Anfragen &#252;ber irgendeine amerikanische Cloud-Klitsche routen, ist eine sehr schlechte Idee f&#252;r eure Privatsph&#228;re. Aber es selber zu machen hilft leider auch nicht so viel, wie man hoffen w&#252;rde.</p>
<p>Ich finde bei sowas immer, dass man NSA und co ja nicht noch freiwillig entgegenkommen muss. Oh und richtig geil w&#228;re das erst, wenn DNS verschl&#252;sselt w&#228;re. Es gibt da was mit TLS f&#252;r DNS, aber das ist hochkomplex, eine riesige Angriffsoberfl&#228;che und erh&#246;ht die Netzwerklatenz deutlich. Cloudflare bietet das an. Aber das w&#252;rde halt nur den Weg von euch zu Cloudflare sch&#252;tzen. Bei Cloudflare k&#246;nnte die NSA immer noch alles abgreifen.</p>
<p u=""><strong>Update</strong>: Leser berichten, dass einzelne ISPs gar keinen DNS-Resolver mehr betreiben sondern ihren Kundern per DHCP 8.8.8.8 setzen. Das ist aus meiner Sicht ein starker Anreiz, sich schnell einen anderen ISP zu suchen.</p>
</li></ul>
</html>