Warum eine einzelne DNS-Abfrage Hunderte versteckter Anfragen auslösen kann

Jedes Mal, wenn Sie eine Website-Adresse in Ihren Browser eingeben, übersetzt ein System im Hintergrund, das als Domain Name System (DNS) bezeichnet wird, diesen für Menschen lesbaren Namen in eine maschinenfreundliche Zahl (eine IP-Adresse), damit Ihr Gerät eine Verbindung herstellen kann. Das klingt einfach: Sie fragen, Sie erhalten eine Antwort. Aber auf dem kürzlich stattgefundenen IETF-126-Treffen in Wien zeigten Forscher, wie schwindelerregend komplex diese einfache Handlung tatsächlich sein kann.

Ondřej Surý vom Internet Systems Consortium stellte eine beliebte DNS-Software, BIND 2.18, auf eine harte Probe: Er leerte ihren Speicher (einen „kalten Cache“) und bat sie, eine einzelne Adresse aufzulösen, einen Reverse-IPv6-Pointer-Datensatz. Das Ergebnis? Erstaunliche 329 einzelne Abfragen flogen hin und her, bevor der Resolver schließlich seine Antwort erhielt. Die meisten Nachschläge sind nicht so extrem, aber die Demonstration legte den verborgenen Aufwand offen, der sich täglich ereignet, wenn Resolver ein Netz voneinander abhängiger Nameserver durchqueren, Verweise verfolgen und Sicherheitssignaturen doppelt prüfen.

Ein großer Teil dieser Last stammt von etwas, das als „transitives Vertrauen“ bezeichnet wird. Um selbst einen einfachen Namen wie www.example.com aufzulösen, muss Ihr Resolver zunächst einer Liste von dreizehn Root-Servern vertrauen, dann den dreizehn Servern für .com, dann den Servern für example.com. Aber die Roots selbst verwenden Namen in der Top-Level-Domain .net, was den Vertrauenskreis weiter vergrößert. Darüber hinaus werden oft „Glue Records“, zusätzliche Hinweise, die in Antworten eingebettet sind, benötigt, um zirkuläre Abhängigkeiten aufzubrechen, was die Anzahl der Abfragen weiter erhöht.

Beim IETF 126 zielte ein neuer Vorschlag darauf ab, einen Teil dieser Komplexität zu durchbrechen. Die Idee ist, den traditionellen „Priming“-Schritt zu eliminieren, bei dem ein Resolver zunächst einen Root-Server nach der aktuellen Liste aller Root-Server fragt. Stattdessen würden Resolver mit einem festen, verifizierbaren Satz von Root-Server-Identifikatoren konfiguriert, die mithilfe von DNSSEC (einem System digitaler Signaturen, das nachweist, dass DNS-Daten nicht manipuliert wurden) validiert werden. Dies würde den Kaltstartprozess vereinfachen und die Anzahl der Abfragen reduzieren, die über das Netzwerk gesendet werden.

Für normale Benutzer bleiben diese technischen Aufgaben unsichtbar. Aber sie sind wichtig, weil ein langsames oder überlastetes DNS-System das gesamte Internet träge erscheinen lassen kann. Die Wahl eines datenschutzorientierten, verschlüsselten DNS-Dienstes, der moderne Standards unterstützt, wie zum Beispiel AEU DNS, fügt eine Schutzschicht hinzu: Ihre Abfragen werden über sichere Kanäle übertragen und mit DNSSEC validiert, was dazu beiträgt, dass die Website, die Sie erreichen, die echte ist und kein Betrüger.