Sicherer DNS-Verkehr

Fast alles können wir heute schon im Internetverkehr verschlüsseln, sodass der Inhalt nicht mit massivem Einsatz von Ressourcen gelesen werden kann: Mailverkehr mit Office365, Datenaustausch mit OneDrive for Business, Chat mit Skype for Business, lokaler Netzwerkverkehr mit Vermeidung von SMB 1.x, nur ein wesentlicher Punkt, die Namensauflösung wird gerne übersehen.

Hintergrund: wenn Sie in Ihrem Browser ‚www.ehouse.at‘ eingeben, weiß in aller Regel Ihr Rechner nicht, wo auf welcher IP-Adresse unser Webserver weltweit erreichbar ist – also fragt er den lokalen DNS-Server (Domain Name Service). Da ist die Kette so eingerichtet, wenn dieser es (in aller Regel) auch nicht weiß, den nächsten bis zu den sog. Root-Servern „hinauf“ zu fragen. Das nennt sich Namensauflösung. Viele dieser Root-Server standen im Jahre 2001 im World Trade Center, so dass es damals zu massiven Internetausfällen während 9/11 kam – das Problem wurde in der Zwischenzeit etwas entschärft, wobei die Amerikaner noch immer praktisch alle Root-Server bei sich stehen haben und die EU erst anfängt sich auf die Füße zu stellen.

Jetzt geht aber diese Anfrage im Klartext (also unverschlüsselt!) mit der IP-Adresse Ihres Anschlusses und ihrer lokalen IP Ihres Computers hinaus und Sie bekommen dann die IP von z.B. www.ehouse.at im Klartext retour, und zwar ungeprüft und nicht fälschungssicher (Man-in-the-middle-Attacken möglich) zurück, damit Ihr Browser die Seite darstellen kann.

Damit ist Ihr Surfverhalten nachvollziehbar, veränderbar, etc., also eine datentechnische Katastrophe.

Dagegen wurden mit Hilfe des Projekts DoT, DNS over TLS eine sichere Variante geschaffen. Kollege Marcel Polesovsky hat dies im Freeware-Projekt Stubby auf einem Rasperry Pi realisiert, somit gehen alle DNS Anfragen bei uns im Haus nur mehr verschlüsselt rein und raus!

In Kombination mit der im letzten Artikel vorgestellten Lösung, ein erheblicher Zugewinn an Sicherheit! Wenn Sie dies auch bei Ihnen realisiert haben wollen, kontaktieren Sie uns!