DNS over TLS (DoT) ist ein Protokoll, das eine zus\u00e4tzliche Sicherheits- und Datenschutzebene f\u00fcr DNS-Abfragen (Domain Name System) bietet. DNS ist ein wesentlicher Dienst, der f\u00fcr Menschen lesbare Dom\u00e4nennamen wie \u201eoneproxy.pro\u201c in IP-Adressen \u00fcbersetzt, die von Computern verwendet werden, um Websites und Dienste im Internet zu finden und mit ihnen zu kommunizieren. Traditionell werden DNS-Abfragen im Klartext gesendet, was sie anf\u00e4llig f\u00fcr Abh\u00f6rangriffe, Man-in-the-Middle-Angriffe und DNS-Spoofing macht.<\/p>\n
DNS \u00fcber TLS geht diesen Sicherheitsbedenken entgegen, indem es DNS-Abfragen und -Antworten mithilfe des Transport Layer Security (TLS)-Protokolls verschl\u00fcsselt, das fr\u00fcher als Secure Sockets Layer (SSL) bekannt war. Durch die Verschl\u00fcsselung des DNS-Verkehrs k\u00f6nnen Dritte die Abfragen nicht abfangen oder manipulieren, was den Benutzern ein h\u00f6heres Ma\u00df an Privatsph\u00e4re und Schutz bietet.<\/p>\n
DNS \u00fcber TLS wurde erstmals 2014 in RFC 7858 mit dem Titel \u201eSpezifikation f\u00fcr DNS \u00fcber Transport Layer Security (TLS)\u201c eingef\u00fchrt. Der Vorschlag zielte darauf ab, die DNS-Sicherheit durch die Anwendung von Verschl\u00fcsselung auf DNS-Anfragen und -Antworten zu verbessern. Der RFC dokumentierte die Standards und Protokolle, die f\u00fcr die Implementierung von DNS \u00fcber TLS erforderlich sind.<\/p>\n
DNS \u00fcber TLS funktioniert durch den Aufbau einer sicheren TLS-Verbindung zwischen dem Client (Resolver) und dem DNS-Server. Wenn eine DNS-Anfrage gestellt wird, wird diese im TLS-Protokoll gekapselt und \u00fcber einen sicheren Kanal an den DNS-Server gesendet. Der Server verarbeitet dann die Anfrage und sendet die verschl\u00fcsselte Antwort an den Client zur\u00fcck, die dann vom Client entschl\u00fcsselt wird. Dadurch wird sichergestellt, dass die Kommunikation zwischen Client und DNS-Server vor dem Abfangen und Manipulieren durch Angreifer gesch\u00fctzt ist.<\/p>\n
Der typische Port f\u00fcr DNS \u00fcber TLS ist 853 und verwendet dasselbe DNS-Nachrichtenformat wie normales DNS \u00fcber UDP oder TCP. F\u00fcr zus\u00e4tzliche Sicherheit ist es jedoch in einen TLS-Handshake eingebettet.<\/p>\n
Der Prozess von DNS \u00fcber TLS kann in die folgenden Schritte unterteilt werden:<\/p>\n
H\u00e4ndedruck<\/strong>: Der Client initiiert einen TLS-Handshake mit dem DNS-Server und stellt so eine sichere Verbindung her.<\/p>\n<\/li>\n Abfrage<\/strong>: Der Client sendet \u00fcber den eingerichteten TLS-Kanal eine DNS-Anfrage an den Server.<\/p>\n<\/li>\n wird bearbeitet<\/strong>: Der DNS-Server verarbeitet die Anfrage und generiert eine Antwort.<\/p>\n<\/li>\n Antwort<\/strong>: Der Server sendet die verschl\u00fcsselte DNS-Antwort an den Client zur\u00fcck.<\/p>\n<\/li>\n Entschl\u00fcsselung<\/strong>: Der Client entschl\u00fcsselt die Antwort, um die DNS-Informationen zu erhalten.<\/p>\n<\/li>\n Aufl\u00f6sung<\/strong>: Der Client erh\u00e4lt die aufgel\u00f6ste IP-Adresse und kann auf die angeforderte Website oder den angeforderten Dienst zugreifen.<\/p>\n<\/li>\n<\/ol>\n DNS \u00fcber TLS bietet mehrere wichtige Funktionen, die es zu einer wertvollen Erg\u00e4nzung zum herk\u00f6mmlichen DNS machen:<\/p>\n Privatsph\u00e4re<\/strong>: Durch die Verschl\u00fcsselung von DNS-Abfragen verhindert DNS \u00fcber TLS, dass Dritte, z. B. Internetdienstanbieter (ISPs), die DNS-Aktivit\u00e4ten der Benutzer \u00fcberwachen.<\/p>\n<\/li>\n Sicherheit<\/strong>: Die Verschl\u00fcsselung des DNS-Verkehrs sch\u00fctzt vor DNS-Spoofing und Man-in-the-Middle-Angriffen und bietet den Benutzern ein h\u00f6heres Ma\u00df an Sicherheit.<\/p>\n<\/li>\n Integrit\u00e4t<\/strong>: DNS \u00fcber TLS gew\u00e4hrleistet die Integrit\u00e4t von DNS-Antworten, indem es sie w\u00e4hrend der \u00dcbertragung vor \u00c4nderungen sch\u00fctzt.<\/p>\n<\/li>\n Authentifizierung<\/strong>: TLS sorgt f\u00fcr die Authentifizierung zwischen dem Client und dem DNS-Server und verringert so das Risiko einer Verbindung zu b\u00f6swilligen oder gef\u00e4lschten DNS-Servern.<\/p>\n<\/li>\n Kompatibilit\u00e4t<\/strong>: DNS \u00fcber TLS ist mit der vorhandenen DNS-Infrastruktur kompatibel und erfordert nur minimale \u00c4nderungen an DNS-Servern und -Clients.<\/p>\n<\/li>\n Selektive Verschl\u00fcsselung<\/strong>: Mit DNS \u00fcber TLS k\u00f6nnen Benutzer ausw\u00e4hlen, welche DNS-Abfragen verschl\u00fcsselt werden sollen, was Flexibilit\u00e4t bei der Implementierung von Verschl\u00fcsselungsrichtlinien bietet.<\/p>\n<\/li>\n<\/ol>\n Es gibt zwei Hauptmodi von DNS \u00fcber TLS:<\/p>\n strikter Modus<\/strong>: Im strikten Modus erzwingt der Client DNS \u00fcber TLS f\u00fcr alle seine Abfragen. Wenn der DNS-Server TLS nicht unterst\u00fctzt, sendet der Client die Anfrage nicht und verwendet einen alternativen Server oder gibt einen Fehler zur\u00fcck.<\/p>\n<\/li>\n Opportunistischer Modus<\/strong>: Im opportunistischen Modus versucht der Client, DNS \u00fcber TLS zu verwenden, greift jedoch auf normales DNS zur\u00fcck, wenn der Server keine Verschl\u00fcsselung unterst\u00fctzt. Dieser Modus erm\u00f6glicht einen flexibleren Ansatz f\u00fcr die Einf\u00fchrung von DNS \u00fcber TLS.<\/p>\n<\/li>\n<\/ol>\n Vergleichen wir die beiden Modi:<\/p>\nAnalyse der Hauptmerkmale von DNS \u00fcber TLS (DoT)<\/h2>\n
\n
Arten von DNS \u00fcber TLS (DoT)<\/h2>\n
\n