Qgelm

Verbesserte Namensauflösung: IETF veröffentlicht RFC zum Internetprotokoll QUIC

<html> <header class=„article-header“><h1 class=„articleheading“>Verbesserte Namensauflösung: IETF veröffentlicht RFC zum Internetprotokoll QUIC</h1><div class=„publish-info“> Benjamin Pfister</div></header><figure class=„aufmacherbild“><img src=„https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/5/4/5/9/3/2/shutterstock_2023520396.jpg-0ddafc5427629e0f.jpeg“ srcset=„https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/5/4/5/9/3/2/shutterstock_2023520396.jpg-0ddafc5427629e0f.jpeg 700w, https://heise.cloudimg.io/width/1050/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/5/4/5/9/3/2/shutterstock_2023520396.jpg-0ddafc5427629e0f.jpeg 1050w, https://heise.cloudimg.io/width/1500/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/5/4/5/9/3/2/shutterstock_2023520396.jpg-0ddafc5427629e0f.jpeg 1500w, https://heise.cloudimg.io/width/2300/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/5/4/5/9/3/2/shutterstock_2023520396.jpg-0ddafc5427629e0f.jpeg 2300w“ alt=„“ class=„img-responsive“ referrerpolicy=„no-referrer“ /><figcaption class=„akwa-caption“>(Bild: Anterovium/Shutterstock.com)</figcaption></figure><p><strong>Der neue RFC der Internet Engineering Task Force nutzt die integrierte Verschlüsselung und bessere Geschwindigkeit von QUIC für die Namensauflösung.</strong></p><p>Die Internet Engineering Task Force (IETF) hat den RFC 9250 zu DNS over QUIC (DoQ) veröffentlicht. Er verspricht eine bessere Namensauflösung bei höherer Geschwindigkeit. Seit geraumer Zeit schon werden Verschlüsselungsprotokolle für die Namensauflösung (DNS) kontrovers diskutiert, darunter DNS over TLS (DoT) und DNS over HTTPS (DoH). Mit dem noch recht jungen Protokoll <a class=„heiseplus-lnk“ href=„https://www.heise.de/hintergrund/Internet-QUIC-Standardisierung-durch-die-Internet-Engineering-Task-Force-6120835.html“><strong>QUIC [1]</strong></a> möchte die IETF nun dessen positiven protokollinhärenten Eigenschaften für die Namensauflösung nutzen.</p><p>Dabei sollen die integrierte TLS-1.3-Verschlüsselung für verbesserten Datenschutz und die optimierte Latenz im Verbindungsaufbau (im Vergleich zu klassischem TLS über TCP) die Namensauflösung positiv beeinflussen. Der RFC 9250 definiert außerdem unterschiedliche Anwendungszwecke im DNS für DoQ: „Stub to recursive Resolver“-, „recursive to authoritative“- und Zonentransferszenarien.</p><h3 class=„subheading“ id=„nav_kein0“>Kein Head-of-Time Blocking</h3><p>Das auf UDP aufbauende QUIC-Protokoll bietet einige interessante Eigenschaften für die DNS-Übertragung. So gibt es bei DoQ kein Head-of-Line Blocking wie bei DNS over TCP bei größeren Übertragungen. Jede Anfrage/Antwort-Transaktion wird einem separaten Stream zugeordnet. Somit kann eine fehlende Antwort folgende Abfragen nicht ausbremsen. Der Client wählt dafür jeweils einen dedizierten Stream für jede Anfrage.</p><p>Zudem sollen Client und Server es ermöglichen, eine Verbindung wiederzuverwenden, indem sie multiple Anfragen und Antworten über eine persistente QUIC Connection versenden. Es muss also im Normalfall kein zusätzlicher QUIC-Handshake stattfinden. Clients, die mehrere Anfragen an einen DNS-Server versenden, sollen nicht auf eine ausstehende Antwort warten, bevor sie eine weitere Anfrage senden.</p><p>DoQ enthält einen dedizierten UDP-Port mit der Nummer 853. Jedoch können sich Client und Server gemäß Spezifikation auch auf andere Ports einigen, wobei UDP-Port 53 wegen Verwechslungsgefahr mit DNS over UDP nicht zulässig ist. Die Unterstützung für DoQ erfolgt auf Basis des Application-Layer Protocol Negotiation (ALPN) Token „doq“ im Crypto-Handshake. Falls die DoQ-Verbindung fehlschlägt, können Clients auf DoT und in Folge auf Klartextübertragung zurückfallen. Der Client sollte sich jedoch Server-IP-Adressen merken, die DoQ nicht umsetzen.</p><p>Obwohl QUIC-Pakete verschlüsselt sind, können Protokollanalysen aus der Paketlänge in Anfragen und Antworten sowie deren Timing erkennen, dass es sich um DoQ handelt. Deshalb empfiehlt es sich, Padding gemäß der EDNS-Padding-Option oder QUIC Padding anzuwenden.</p><h3 class=„subheading“ id=„nav_vorteil1“>Vorteil: verbesserter Datenschutz</h3><p>Die in QUIC integrierte TLS-1.3-Verschlüsselung bietet einen verbesserten Datenschutz und schützt auch standardmäßig bereits gegen Downgrade-Attacken. Bei langlebigeren Sessions hat QUIC den Vorteil, dass Quell-IPs am Client während der Übertragung wechseln können. Dadurch entkoppelt es die Übertragung der IP-Adressen und nutzt Connection-IDs und die darin enthaltenen Streams.</p><p>DoQ enthält im Vergleich zu UDP aber auch eine effizientere Korrektur bei Paketverlusten, die sich aus dem QUIC-Protokoll und RFC 9002 (QUIC Loss Detection and Congestion Control) ergeben. Zudem gibt es zum Schutz gegen Amplification-Attacken eine bessere Quell-IP-Validierung als bei DNS over UDP.</p><p>Einen weiteren Vorteil im Vergleich zu klassischen verschlüsselten DNS-Verschlüsselungsmethoden stellt das 0-RTT Feature (Zero Round Trip Time) von QUIC für die Wiederaufnahme vorheriger Sessions ohne zusätzlichen Handshake dar. Hierdurch verringert sich die Latenz bei Anfragen an den gleichen DNS-Server im Vergleich zum Aufbau neuer Sessions inklusive zugehöriger TLS-Aushandlungen, sei es für DoT oder DoH.</p><h3 class=„subheading“ id=„nav_zusätzliche2“>Zusätzliche Geschwindigkeit</h3><p>DoQ soll den Datenschutz von DNS over TLS mit den positiven Latenzeigenschaften von klassischem DNS over UDP kombinieren. Gleichzeitig möchten die Protokolldesigner jedoch eine direktere Alternative als bei DNS over HTTPS nutzen. Zwar setzt das neue <a href=„https://www.heise.de/select/ix/2021/4/2105609294679118839“><strong>HTTP/3 [2]</strong></a> auch auf QUIC auf, jedoch würde bei einer DoH-Übertragung mit HTTP/3 ein zusätzlicher Layer für das Hypertext Transport Protocol hinzukommen, was zusätzlichen Overhead und Komplexität einfügt. Daher soll DoQ die direktere Alternative darstellen.</p><p>Wie bei allen RFCs bleibt nun abzuwarten, ob und wann es Praxisimplementierungen gibt. Weitere Details zu DNS over QUIC (DoQ) finden sich im <a href=„https://www.rfc-editor.org/rfc/rfc9250.html“ rel=„external noopener“ target=„_blank“><strong>RFC-Editor [3]</strong></a> des IETF.</p><p>() </p><hr /><p><strong>URL dieses Artikels:</strong><br /><small>

https://www.heise.de/-7097921

</small></p><p><strong>Links in diesem Artikel:</strong><br /><small>

<strong>[1]</strong>&#160;https://www.heise.de/hintergrund/Internet-QUIC-Standardisierung-durch-die-Internet-Engineering-Task-Force-6120835.html

</small><br /><small>

<strong>[2]</strong>&#160;https://www.heise.de/select/ix/2021/4/2105609294679118839

</small><br /><small>

<strong>[3]</strong>&#160;https://www.rfc-editor.org/rfc/rfc9250.html

</small><br /><small>

<strong>[4]</strong>&#160;https://www.heise.de/ix/

Qgelm

Seiten-Werkzeuge

Webseiten-Werkzeuge

Benutzer-Werkzeuge

Verbesserte Namensauflösung: IETF veröffentlicht RFC zum Internetprotokoll QUIC