Warum Ihre DNS-Abfragen oft doppelt gesendet werden: APNIC Labs deckt weit verbreitete Duplizierung auf

In einer kürzlichen Folge des PING-Podcasts teilte Geoff Huston, leitender Wissenschaftler bei APNIC, ein überraschendes Ergebnis aus der globalen Messinfrastruktur der Organisation mit: Fast jede DNS-Abfrage, die er sieht, wird dupliziert, oft innerhalb eines sehr kurzen Zeitrahmens. DNS, das Domain Name System, ist das Telefonbuch des Internets, das benutzerfreundliche Domainnamen wie 'example.com' in maschinenlesbare IP-Adressen übersetzt. Jedes Mal, wenn Sie eine Website besuchen, ein Video streamen oder eine App verwenden, sendet Ihr Gerät DNS-Abfragen aus, um den Server zu finden. Aber es stellt sich heraus, dass diese Abfragen häufig mehr als einmal gesendet werden.

APNIC Labs betreibt ein werbebasiertes Messsystem, das eindeutige DNS-Abfragen in Anzeigen einbettet, die täglich auf etwa 30 Millionen Browsern, Spielen und Geräten angezeigt werden. Wenn ein Gerät eine dieser Anzeigen lädt, löst es auch eine DNS-Abfrage für einen eindeutigen, einmaligen Domainnamen aus. Dies ermöglicht es den Labors, zu verfolgen, wie DNS-Abfragen weltweit behandelt werden, und zeigt Muster des Internetverhaltens, ohne die persönliche Browsing-Aktivität der Benutzer zu verfolgen. An einem typischen Tag beobachtet das System etwa 150 Millionen eindeutige DNS-Labels, also eindeutige Domainnamen, , verzeichnet jedoch ungefähr 270 Millionen eingehende DNS-Abfragen. Das ist eine Duplizierungsrate von fast 1,8 zu 1.

Warum passiert das? Die Antwort liegt in einer Mischung aus technischen und verhaltensbezogenen Faktoren. Erstens können zwischengeschaltete Systeme wie Web-Proxys oder Caching-Server eine Anfrage sehen und im Namen des Benutzers erneut ausgeben, was zu zusätzlichen DNS-Abfragen führt. Wenn Sie sich beispielsweise in einem Unternehmensnetzwerk befinden, könnte ein Proxy eine Seite für Sie abrufen und ein anderes internes System könnte sie erneut überprüfen. Zweitens kann das Browserverhalten dazu beitragen: Offene Tabs können regelmäßig aktualisiert oder Ressourcen erneut abgerufen werden, was dazu führt, dass dieselbe DNS-Abfrage erneut gesendet wird. Selbst einfache Benutzeraktionen wie doppeltes Klicken auf einen Link können mehrere Abfragen erzeugen.

Aber es gibt einen grundlegenderen Grund, der im Design von DNS selbst verwurzelt ist. DNS hat immer mit der Annahme der Unzuverlässigkeit operiert, Pakete können verloren gehen, und Server antworten möglicherweise nicht. Wenn eine Abfrage fehlschlägt, wiederholt der Client den Versuch. Mit der Einführung von DNSSEC (Domain Name System Security Extensions), das digitale Signaturen zu DNS-Einträgen hinzufügt, um Spoofing zu verhindern, werden Wiederholungen noch wahrscheinlicher. Wenn eine DNSSEC-Validierung fehlschlägt, zum Beispiel weil ein Resolver die Signaturkette nicht überprüfen kann, kann sie einen SERVFAIL-Fehler zurückgeben, der den Client dazu veranlasst, erneut zu fragen, oft bei einem anderen Resolver. Huston wies darauf hin, dass viele Benutzer mehrere Resolver im Hintergrund haben, einige mit DNSSEC aktiviert, einige ohne, und der Client kann es bei ihnen erneut versuchen. Doppelte Abfragen sind also nicht nur versehentliche Wiederholungen; sie sind Teil der normalen Fehlertoleranzmechanismen des Systems und selbst ein Aspekt dessen, was das Messsystem testet.

Das APNIC-Team untersuchte die Muster der Duplizierung genauer und fand mehrere wiederkehrende Typen, die sie im Podcast besprechen. Obwohl die spezifischen Muster im Blogbeitrag nicht detailliert beschrieben wurden, ist die Implikation klar: DNS-Abfragenduplizierung ist allgegenwärtig und kann viel über die Netzwerkkonfiguration eines Benutzers verraten, wie viele Resolver sie verwenden, ob DNSSEC aktiv ist und sogar das Vorhandensein von Caching-Proxys. Für den durchschnittlichen Internetnutzer bedeutet dies, dass sein ISP oder Netzwerkbetreiber möglicherweise weit mehr DNS-Verkehr sieht als nötig, und jede Abfrage ist ein potenzielles Leck der Browsing-Aktivität.

Dies hat direkte Auswirkungen auf die Privatsphäre. Wenn Ihre DNS-Abfragen nicht verschlüsselt sind, wie es bei herkömmlichem DNS über Port 53 der Fall ist, kann jede duplizierte Abfrage von jedem auf dem Netzwerkpfad beobachtet werden, von Ihrem Internetanbieter bis zu Betreibern öffentlicher WLANs. Sie können sehen, welche Websites Sie besuchen möchten, auch wenn Sie sich letztendlich nicht mit ihnen verbinden. Schlimmer noch: Da Duplikate an verschiedene Resolver gehen oder nach einem SERVFAIL erneut versucht werden können, ist Ihr Browsing-Fußabdruck über mehrere Protokollierungspunkte verteilt. In einer Ära, in der DNS-Daten zunehmend für Profilbildung und gezielte Werbung verwendet werden, ist die Reduzierung unnötiger Exposition entscheidend.

Eine wirksame Gegenmaßnahme ist die Verwendung von verschlüsseltem DNS, das Ihre Abfragen in eine sichere Schicht einhüllt, sodass Zwischenhändler sie nicht lesen können. Protokolle wie DNS über HTTPS (DoH) und DNS über TLS (DoT) senden Ihren DNS-Verkehr verschlüsselt, sodass er wie normaler Webverkehr aussieht (DoH) oder einen dedizierten sicheren Kanal verwendet (DoT). Selbst wenn Abfragen dupliziert werden, ist der Inhalt verborgen. Für Benutzer stellt der Wechsel zu einem datenschutzorientierten verschlüsselten DNS-Dienst wie AEU DNS sicher, dass alle DNS-Transaktionen, einschließlich dieser zusätzlichen Wiederholungen, vor neugierigen Blicken geschützt sind. AEU DNS unterstützt sowohl DoH als auch DoT, arbeitet mit einer strengen No-Logging-Richtlinie und blockiert bekannte bösartige Domains, was einen dreifachen Nutzen aus Privatsphäre, Sicherheit und Seelenfrieden bietet.