DNS over QUIC (DoQ): Niedrigere latency und stärkere Verschlüsselung

DNS over QUIC, meist als DoQ abgekürzt, ist eine Möglichkeit, die Anfragen zu schützen, die Geräte über das Domain Name System stellen. DNS übersetzt den Namen einer Website in die Netzwerkinformationen, die erforderlich sind, um sie zu erreichen. DoQ überträgt diese Anfragen über QUIC, eine moderne Transporttechnologie, die Daten schnell zwischen einem Gerät und einem Onlinedienst übertragen soll.

Der wichtigste Vorteil für die Privatsphäre ist die Verschlüsselung. Sie wandelt Informationen in eine Form um, die während der Übertragung ohne den erforderlichen Zugriff nicht gelesen werden kann. DoQ verschlüsselt DNS queries im gleichen allgemeinen Sinne wie DNS over HTTPS (DoH) und DNS over TLS (DoT). Dadurch wird verhindert, dass die query selbst als lesbare Information zwischen dem Nutzer und dem DNS-Dienst übertragen wird.

DoQ zeichnet sich dadurch aus, wie schnell es den geschützten Austausch herstellen kann. Zum Aufbau einer verschlüsselten Verbindung müssen sich beide Endpunkte abstimmen, bevor sie sicher kommunizieren können. QUIC wurde entwickelt, um diese Verzögerung beim Verbindungsaufbau zu reduzieren, sodass DoQ eine verschlüsselte DNS-Verbindung schneller herstellen kann. Dies kann die latency verringern, also die Wartezeit zwischen dem Senden einer DNS-Anfrage und dem Empfang der Antwort. Der hier beschriebene Vorteil betrifft den Verbindungsaufbau und ist kein Versprechen, dass jeder einzelne lookup unter allen Bedingungen immer schneller abgeschlossen wird.

Ein weiterer Vorteil ist das Fehlen von head-of-line blocking. Bei manchen Arten der Datenübertragung kann ein verzögertes Element alles aufhalten, was dahinter wartet. DoQ hält DNS-Anfragen ausreichend unabhängig voneinander, sodass eine langsame query die anderen nicht blockiert. Das ist wichtig, wenn eine Seite, eine Anwendung oder ein Geschäftssystem ungefähr zur gleichen Zeit mehrere DNS-Antworten benötigt. Eine Verzögerung, die ein Ziel betrifft, zwingt nicht automatisch jeden anderen lookup zum Warten.

DoQ unterstützt außerdem 0-RTT connection resumption. RTT steht für round-trip time, also die Zeit, die Informationen benötigen, um zum Dienst zu gelangen und als Antwort zurückzukehren. Bei 0-RTT connection resumption kann ein Gerät, das erneut eine Verbindung zu einem bereits zuvor genutzten Dienst herstellt, die Kommunikation fortsetzen, ohne zunächst auf einen zusätzlichen Hin- und Rückweg zu warten. Dadurch entfällt bei einer wiederhergestellten Verbindung eine weitere Ursache für Verzögerungen beim Verbindungsaufbau.

Die Widerstandsfähigkeit gegen Blockierungen ist ein weiterer praktischer Vorteil. Netzwerke können DNS-Traffic beeinträchtigen, um einzuschränken, welche Ziele Menschen erreichen können. DoQ bietet Widerstand gegen diese Art der Blockierung. Das sollte jedoch nicht als Garantie missverstanden werden, dass Eingriffe unmöglich sind. Entscheidend ist, dass verschlüsseltes DNS den Inhalt des lookup während der Übertragung als lesbaren DNS-Traffic unzugänglich macht.

Der Vergleich mit den anderen wichtigen Methoden für verschlüsseltes DNS betrifft vor allem die Art, wie sie dieselbe Art geschützter query übertragen. DoH, oder DNS over HTTPS, bettet DNS-Anfragen in HTTPS-Traffic auf port 443 ein. DoT, oder DNS over TLS, verwendet einen eigenen verschlüsselten Kanal. DoQ überträgt die Anfragen stattdessen über QUIC und verbindet die Verschlüsselung der query mit einem schnelleren Verbindungsaufbau, 0-RTT connection resumption und dem Schutz davor, dass eine langsame query die übrigen verzögert.

Alle drei Methoden schützen die DNS query, doch ihre Datenschutzgrenze muss verstanden werden. DoQ, DoH und DoT verschlüsseln nicht die gesamte Internetverbindung eines Nutzers. Sie verbergen auch nicht die IP address des Nutzers, also die Netzwerkadresse, die zum Senden und Empfangen von Daten verwendet wird. Die Verschlüsselung von DNS verhindert somit, dass der lookup während der Übertragung gelesen werden kann. Sie macht eine Person jedoch nicht anonym und verbirgt nicht jedes Detail ihrer Onlineaktivitäten.

Für Websitebetreiber, Unternehmen und Alltagsnutzer besteht die praktische Wahl darin, eine Methode für verschlüsseltes DNS zu aktivieren, die sowohl vom jeweiligen Gerät als auch vom DNS-Dienst unterstützt wird. DoQ ist besonders relevant, wenn die Dauer des Verbindungsaufbaus, mehrere gleichzeitige lookups oder die Widerstandsfähigkeit gegen DNS-Blockierungen wichtig sind. DoH und DoT schützen weiterhin die query selbst und verwenden dafür HTTPS-Traffic beziehungsweise einen eigenen verschlüsselten Kanal. Als praktische Option bietet AEU DNS privates, sicheres DNS für alle.

Der entscheidende Unterschied ist einfach: DoQ verbessert die Übertragung verschlüsselter DNS-Anfragen, erweitert die Verschlüsselung jedoch nicht auf den übrigen Traffic einer Person. Nutzer sollten es als Schutz für DNS lookups betrachten und nicht als Werkzeug, das ihre IP address verbirgt oder jeden anderen Teil einer Verbindung absichert.