Linux führt über systemd integrierte verschlüsselte DNS-Abfragen ein, um die Privatsphäre beim Surfen zu schützen

Die Internet Society hat kürzlich entdeckt, dass aktuelle Linux-Distributionen nun mit nativer Unterstützung für DNS-Abfragen über TLS ausgeliefert werden. Um zu sehen, wie das in der Praxis funktioniert, testeten ihre Forscher Ubuntu 18.10 auf einem Laptop. Das ist wichtig, weil DNS, das Domain Name System, als Telefonbuch des Internets fungiert: Es wandelt die von Ihnen eingegebenen Website-Namen in die numerischen IP-Adressen um, die Computer für die Verbindung verwenden. Normalerweise reisen diese Abfragen als Klartext über das Netzwerk, was bedeutet, dass jeder auf dem Weg, etwa ein WLAN-Anbieter, ein Internetdienstanbieter oder ein böswilliger Lauscher, sehen kann, welche Websites Sie besuchen. Das Senden von DNS-Abfragen über TLS verpackt diese Telefonbuchanfrage in dieselbe Art von Verschlüsselung, die für sichere Websites verwendet wird, und verbirgt Ihren Browserverlauf vor neugierigen Blicken.

Neuere Versionen von Ubuntu verwenden einen speziellen Hintergrunddienst für die Namensauflösung namens systemd-resolved. Der vollständige Dienstname lautet system-resolved.service(8), gemäß der Linux-Konvention für die Benennung von Systemdiensten und deren Handbuchseiten. Dieser Dienst übernimmt die Übersetzung von Domainnamen in Adressen, und seine Konfigurationsdatei bietet einen Ort, um verschlüsseltes DNS zu aktivieren. Durch Aktivieren von DNS-over-TLS in dieser Datei können Benutzer systemd-resolved anweisen, einen Resolver zu verwenden, der TLS spricht, sodass jede Namensabfrage geschützt ist. Der Blogbeitrag der Internet Society verweist auf diese Konfigurationsdatei als Schlüssel zur Aktivierung der Datenschutzfunktion, geht jedoch nicht auf jeden Schritt ein.

DNS-over-TLS funktioniert, indem ein verschlüsselter Tunnel zwischen Ihrem Computer und einem DNS-Resolver eingerichtet wird, dem Server, der Ihre Namensabfragen beantwortet. Sobald der Tunnel eingerichtet ist, werden Ihre DNS-Abfragen darin gesendet, ähnlich wie HTTPS Webverkehr verschlüsselt. Dies verhindert, dass Außenstehende lesen können, welche Domainnamen Sie anfordern, und erschwert es Angreifern erheblich, die Antworten zu manipulieren, eine Technik, die als DNS-Spoofing oder -Hijacking bekannt ist. Für Linux-Benutzer entfällt durch die Integration in das Betriebssystem die Notwendigkeit, zusätzliche Software zu installieren: Der eigene Namensauflösungsdienst des Betriebssystems kann die Verschlüsselung übernehmen. Das ist ein bedeutender Fortschritt für die Privatsphäre, da DNS-Daten oft übersehen werden, selbst von Menschen, die ein VPN oder den privaten Modus verwenden.

Die Tatsache, dass aktuelle Linux-Distributionen diese Fähigkeit enthalten, ist sowohl für Einzelpersonen als auch für Unternehmen wichtig. Viele Server, Cloud-Instanzen und Arbeitsplatzrechner laufen mit Linux, und ihre DNS-Abfragen reisen oft über Netzwerke, denen nicht vollständig vertraut wird. Die Verschlüsselung dieser Abfragen verringert das Risiko von Überwachung, Profilerstellung und gezielten Angriffen. Ubuntu 18.10 war nur ein Test; andere aktuelle Distributionen, die systemd verwenden, profitieren ebenfalls, da der zugrunde liegende Dienst denselben verschlüsselten Modus unterstützt. IT-Teams können alle Linux-Rechner in einem Netzwerk so konfigurieren, dass sie DNS-over-TLS verwenden, und so eine konsistente Privatsphäre in der gesamten Organisation gewährleisten. Der Schutz ist jedoch nur so stark wie der von Ihnen gewählte Resolver: Ein Resolver, der Protokolle führt oder Daten verkauft, untergräbt den Datenschutzgewinn. Daher ist die Auswahl eines vertrauenswürdigen, protokollfreien verschlüsselten DNS-Anbieters genauso wichtig wie das Aktivieren der Verschlüsselung selbst.

Für Linux-Benutzer und alle anderen, die diese Schutzmaßnahmen über einen einzelnen Laptop hinaus anwenden möchten, bietet ein datenschutzorientierter verschlüsselter DNS-Dienst wie AEU DNS DNS-over-TLS und andere verschlüsselte DNS-Optionen mit einer No-Logs-Richtlinie, was es einfacher macht, Ihre Namensabfragen privat zu halten, ohne einen eigenen Resolver aufzubauen. Die allgemeinere Lehre aus dem Test der Internet Society ist, dass DNS-Privatsphäre nicht mehr nur etwas für Experten ist: Das Betriebssystem gibt Ihnen jetzt den Schalter in die Hand, und Sie müssen nur noch ein sicheres Ziel für Ihre verschlüsselten Abfragen wählen.