Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2083 Danke!
[Musik]
[Gelächter]
[Musik]
[Gelächter]
ich hoffe ihr konntet irgendwie genug
Schlaf finden ich weiß nicht wie es euch
geht aber durch die fehlende Mainstage
erleben wir dieses Jahr viel stärker die
farbenfohe und fantastische elft des
Chaos und der chaosbegeisterten vielen
Dank an alle die das vor und vor allem
auch hinter der Bühne möglich machen
ansonsten noch ein Aufruf bei unseren
Lightning Talk Sessions sind noch sozfi
dort kann jeder 5 Minuten über seine
Leidenschaft berichten diese vorstellen
also meldet euch tragt euch ein vielen
Dank und unser nächster Vortragender
wird uns ein Update über DNS geben und
auf die Wichtigkeit von freiem DNS
plädieren Jörg backschuss Anfang der
90er wurde er an der Uni der Verwaltung
mit einer Domain und den zugehörigen
IP-Adressen beauftragt seitdem hat ihm
das Thema DNS nicht mehr losgelassen er
verfolgt es seit Jahren und ist bei der
if brennend auf der deren Umsetzung
interessiert im Anschluss an den
30minütigen Vortrag wird es eine Q&A
session geben Fragen also wie immer
bitte über Twitter Mastodon oder IRC mit
den üblichen Hashtags #r3s or
#r3
RC3
r3s thank you und jetzt an Dich Jörg ja
guten morgen zusammen mein Name ist Jörg
backschuss und ich bin in der IT
eigentlich in zwei Themenbereichen
unterwegs das eine sind Themen rund um
ja storage Datenablage das ist sowas wie
Blog storage wie nass oder auch object
storage und das andere Thema für die ich
sich brenet das sind halt netzwerkthemen
und zwar Netzwerk Services und das sind
besonders zwei Dienste die mich
besonders faszinieren und das schon seit
längerer Zeit das ist einmal das Thema
E-Mail und einmal das Thema DNS und ich
habe deswegen auch heute morgen das
Thema Namensauflösung als Thema meiner
Präsentation gemacht und ja der DNS die
Namensauflösung rückt immer mehr in den
Vordergrund und viele Firmen entdecken
darum ein neues Geschäftsmodell Internet
und DNS Services zu
professionionieren wir starten zunächst
einer kleinen Einführung im DNS welche
Elemente gibt es wir gucken so ein
bisschen die Entwicklung an und gucken
mal wer in diesen ganzen
Entwicklungsschritten ja mit beiwohnt
und wer dort seine Geschäfte
abbildet ja domain name System was ist
das überhaupt das ist eine hierarchische
und dezentrale Datenbank die Datenbank
ist verteilt die ist also nicht auf
einem Server sondern auf verschiedenen
Servern verteilt und in dieser Datenbank
sind dann sogenannte resource Records
abgelegt die die gucken wir uns gleich
auch noch mal an und das wichtigste ist
dieses domain name System ist auf
Verfügbarkeit und Ausfallsicherheit
ausgelegt das konnten wir erst vor
kurzem beobachten wo die dnssver von
Facebook nicht erreichbar waren das
bedeutete auch gleichzeitig dass die
Dienste im DNS nicht verfügbar waren und
damit auch die Services dieser company
nicht zur Verfügung standen aber welche
Daten sind überhaupt in dieser
verteilten Datenbank vorhanden und da
habe ich mal kurz eine Zusammenstellung
aufgebaut die wichtigsten Informationen
die dort alt abgelegt werden man
unterscheidet zwischen zwei Verfahren es
gibt einmal den sogenannten forward
lookup und einmal den Reverse Lookup
forward lookup ist die Auflösung von
Namen nach IP-Adressen hab das mal hier
beispielhaft an drei resource Records
durchgeführt das kann natürlich im IPv4
als auch im IPv6 Bereich stattfinden die
resource Records haben unterschiedliche
Namen das A steht halt für IP V4
Adressen dass die abgewäet werden das
Quad a halt für IPv6 Adressen wenn man
Namen auf IP-Adressen abbilden kann dann
kann man es auch andersrum machen und
genau das findet im sogenannten Reverse
Lookup statt dort werden halt
IP-Adressen über einen Pointer record
wieder auf hostnen abgebildet wie man
hier auch
sieht es gibt aber noch weitere source
Records die im DNS sehr wichtig sind
damit Services im Internet funktionieren
einer der ganz wichtigsten ist der
sogenannte MX record MX Record steht für
Mail exchanger damit man weiß wenn man
eine bestimmte Domain hat an wen die
E-Mails halt ausgeliefert werden müssen
welcher Server fühlt sich verantwortlich
für die Auslieferung von E-Mails also
eine ganz wichtige Sache wenn kein DNS
vorhanden ist dann wird es schwierig
E-Mails überhaupt auszuliefern
vielleicht sogar auch unmöglich werden
und dann gibt ein ein weiteren resource
record sogenannten texterkord der wird
für allerlei Informationen heutzutage
gebraucht
als erstens verschiedene
identitätsüberprüfungen werden halt
verwendet wenn man sich irgendwo
registriert einen Dienst nutzen will
dann muss man im DNS ein textrekord
setzen und danach wird halt validiert ob
man Eigentümer der demain ist oder nicht
aber ich habe hier auch ein paar andere
Records aufgeführt die regelmäßig in
diesem Text Sachen verwendet werden das
sind halt Sachen aus dem e-mailbereich
dekim signignatur SPF und so weiter und
wie man schon sieht die Daten sind
ungemein wichtig damit überhaupt ein
Service im Internet funktioniert wenn
man also eine Webseite aufruft
www.meinefirma.de dann wird sofort im
Hintergrund ein Namensauflösung im DNS
gestartet damit man nachher die Seite
aufrufen
kann im DNS-Dienst gibt es ein Server
und eine Kleinseite bzw es gibt zwei
Server Varianten und eine klein Seite es
gibt die sogenannten authortive DNS
Server die authoritives sind dafür
verantwortlich äh Information für eine
bestimmte
ähm Zone zu liefern eine Zone kann z.B
seine Top Level Domain z.B die Top Level
Domain net oder für den ja kompletten
domainennamen backschuss.net z.B hier in
dem Beispiel und diese authoritive DNS
Server sind die eigentlichen Verwalter
der Daten die halten die Daten und die
Zonen sind normalerweise über
verschiedene dnssver verteilt sass man
auch eine gewisse Redundanz Halt hat
als zweite Serverkomponente gibt es
sogenannte ja recursive DNS Server oder
resolving DNS Server auch nonauthoritive
genannt oder auch zum Teil cashing DNS
Server genannt was machen die wenn man
an diese ja reservice DNS Server eine
Anfrage stellt dann lösen sie über die
verschiedenen DNS Server die einzelnen
Zonen aus und liefern praktisch das
Gesamtkonstrukt basierend auf Top Level
Domain Domain Subdomains und Hostname
auf so dass man dann den kompletten
Adresse halt sehen kann und der ganze
der das auslöst der das anfragt der den
recursive dnsver anfragt das ist auf dem
Client und dieser Client kann ein
beliebiges Endgerät sein ist kann Handy
sein es kann ein PC sein
unterschiedliche Betriebssysteme und da
ist so ein kleiner Stab nennt sich das
und dieser kleine Stab das ist ein
fester Eintrag der weist halt auf einen
recursive DNS Server und wenn einen Dom
Name aufgelöst werden muss dann geht er
an diesen recursive DNS Server und
versucht die ganze Sache
aufzulösen wir konzentrieren hier dem
Vortrag eigentlich auf den ja recursive
DNS Server und den klein subresolver und
das Verhältnis von diesen beiden
Elementen wir haben gerade schon von
gesprochen ist gibt die cins also
mobildevice PC Server wie auch immer und
die sind hier oben in der Graf als
kleinst dargestellt und wie bekommen die
jetzt ihre Information welcher DNS
Server Informationen auflösen kann die
häufigste Methode die auch heute noch
zum größten Teil zum Einsatz kommt ist
der klein kommt ins Netz bekommt
IP-Adresse bekommt eine Netzwerkmaske
und Gateway zugeteilt und dann wird
normalerweise per DHCP auch noch der DNS
provided
und daraus gibt's verschiedene
Möglichkeiten es kann ein lokaler DNS
resolver benutzt werden also viele
Firmen haben ein eigenen kleinen DNS
Server und lösen dann die ganzen Domains
auf es gibt aber auch die der
Internetprovider also hier bei uns
Telekom Vodafone oder die Telefonica
oder es gibt auch und das sind
eigentlich so ein bisschen die neuen
Spieler dabei das sind die Cloud DNS
resolver steht ganz vorne eine Google
eine cloudfare oder auch eine quad9 die
sich dort etabliert haben
ähm meine Erfahrung nach sind mehr als
90% der Clients holen sich ihre DNS
Server über disdcp Protokoll und nehmen
das einfach ent gegen ohne diese Auswahl
zu bewerten oder ohne das umzuändern
halt ähm es gibt aber noch weitere
Schritte wie man ein DNS Server halt
konfigurieren kann in den kleinystemen
das funktioniert
mittlerweile auch über IPv6 natürlich
aber man kann natürlich auch in einem
Klein statisch die Informationen eines
DNS hinterlegen das sind alles Level die
auf Betriebssystem Level stattfinden ja
das Betriebssystem bekommt die
Information welcher DNS resolver genutzt
werden kann und die Applikationen
greifen dann auf diesen DNS Server der
Betriebssystem hinterlegt ist
zurück es entwickelt sich aber letzter
Zeit ein Trend dass man
weggeht vom Betriebssystem Level sondern
auf applikationslevel geht und auf
applikationslevel stehen jetzt sage ich
mal die neuen browservsion im
Vordergrund dort kann man separat einen
DNS Server einfragen und dann lösen die
Browser nicht mehr über die Vorgabe des
Betriebssystems eine Domain auf sondern
mittlerweile dann über den Browser
direkt also verschiebt sich das Ganze
vom Betriebssystem Level auf den
applikationslevel
ähm was passiert bei vielen Firmen auch
noch viele Firmen haben einen lokalen
rekursiven DNS resolver sieht man ganz
links im Bild und sie lösen die
Information aber nicht bis ganz zum
Schluss auf sondern sie leiten das
einfach an einen ISP wieder weiter sehr
unsinnig wenn ich schon eigenen DNS
resolver habe warum löst er nicht die
komplette Domain halt auf also den full
qualified Name warum übergebe ich das
dann wieder an einen ISP das macht
eigentlich keinen Sinn wird aber bei
vielen Firmen Halt
gemacht ja hier sind die einzelnen
Konfigurationsoptionen noch mal so ein
bisschen zusammengefasst bemerkenswert
ist halt über DHCP und über das Router
advertisement den DNS Information zu
bekommen ist eigentlich ganz einfach zu
modifizieren weder DHCP noch das Router
advertisement worüber man auch den DNS
Information bekommen kann ist besonders
abgesichert das heißt wenn irgendeinem
Netz ein ein jemand einen weiteren DHCP
Server deploy dann kann er ihm einfach
ein
falschen dnssver auch unterjubeln und
das hat vielleicht zur Folge D gewisse
sachenhaus ausgefiltert werden
manipuliert werden oder ja einfach nicht
mehr aufgelöst werden können und es gibt
noch ein weiteres Idee von Microsoft
halt wie kann man halt den DNS Server an
die Clients provisionieren die haben ein
neues Protokoll implementiert das ist
jetzt auch mit den neuen Windows Server
Versionen Windows 11 eingebaut worden
ist aber noch nicht standardisiert in
diesem Fall ja und wenn wir unten noch
mal gucken
da habe ich ein paar Logos eingebaut wer
sind die Treiber die auf
Applikationsebene halt gerne
DNS Informationen aussuchen möchten das
sind hier die mozill Gruppe und einfach
Google mit seinem
Chrome ja
die Übersicht zeigt einfach noch mal
was kann man automatisiert machen und wo
muss man halt händisch Eingreifen also
die Standard DNS Verfahren die werden
wir auch nachher noch mal ein bisschen
kennenlernen die können mittlerweile
komplett automatisiert provisioniert
werden also DNS oder DNS sec für alle
anderen gibt es diese automatische
Konfiguration nur eingeschränkt bzw
manuell also da ist man noch nicht so
weit und da sucht noch in den
standardisierungsgeremium nach
Möglichkeiten wie man diese DNS
Konfiguration auf dem Kleinteil setzen
kann ja gucken wir uns mal an wie die
Namensauflösung funktioniert wenn man zu
Hause ist wenn man bei einem Internet
Provider ist dann wird einem da einen
Router hingestellt der Router bekommt
eine DNS zugewiesen und der gibt den
dann per DHCP an seine lokalen Clients
einfach weiter ich habe ja einfach mal
ein paar Beispiele aufgeführt die
meisten sind noch bei DNS Servern die
nur IP44 sprechen aber es gibt
mittlerweile auch mal mehr DNS Server
die von den internetsice Providern
dargestellt werden die mittlerweile IPv6
können aber was ist mit der
truenswürdigkeit dieses DNS resolvers
manipuliert er Daten werden Daten
gesperrt und wie sieht das mit der
Privatsphäre eigentlich aus und die
Frage sollte man sich eigentlich stellen
und nicht einfach ja den DNS resolver
nutzen den der ISP so einem einfach zur
Verfügung
stellt ja wir können auch noch mal
gucken wie sieht's in im dem Browser
Chrom aus ja auch da hat man die
Möglichkeit man kann einem custom DN
Server dort eintragen und muss nicht den
vorgegebenen geben den Microsoft
normalerweise hier provisioniert also
seine quadid sondern man kann ja auch
eine eigenen DNS Server eintragen aber
man muss es halt händisch machen und wer
trägt schon gerne etwas händisch ein ja
abgesehen davon kann der Kunde nicht
überprüfen in Chrome ob eine Domain da
kommen wir nachher noch mal abgesichert
ist durch DNS
sec ja im Firefox haben wir ein giebiges
Addon Modell wo man sich verschiedene
Addons installieren kann und dort hat
man eigentlich eine vollkommene
Transparenz und man kann sehen ja
welchen DNS nutzt man wie nutzt man den
DNS ist der per DNS sec abgesichert und
natürlich kann man auch frei sein DNS
Server halt hier
einstellen ja ich habe gerade schon von
gesprochen wie vertrauenswürdig ist ein
DNS resolver aber ich möchte erstmal
drauf eingehen warum macht man das
überhaupt DNS Manipulation was ist
überhaupt die Idee dahinter die erste
Idee ist eigentlich was in der dnsszene
als splitfw dargestellt wird das heißt
man hat eine Webseite
www.meinefirma.de und die hat eine
offizielle IP-Adresse jetzt möchte aber
man von seinem internen Firmennetz auch
auf diesen Webseite zugreifen aber
möchte nicht von außen darauf zugreifen
auf diesem Grund aus diesem Grund wird
die IP auf Adresse dann halt modifiziert
mit einer internen IP-Adresse das ist
einfach damit man halt ja sein Intranet
nicht verlassen muss sondern nur intern
seinem eigenen Netz bleibt und nicht auf
die offiziellen IP-Adressen zugreifen
muss und natürlich in Firmen natürlich
wenn man interne Dienste anbietet möchte
man die nicht über IP-Adresse aufrufen
sondern über Hostnamen dann hat man im
Intranet ein eigenen DNS aber der
hörfistiger Fall warum dnsden
manipuliert wden ist eigentlich die
Blockierung von Online Inhalten und äh
die vier Punkte die ich dort aufgeführt
habe die zeigen eigentlich so wie ich
ich die die die Blockierung von Inhalten
erfahren habe wie ich sie kennengelernt
habe das erste war ich hatte vor 10
Jahren eine Spielekonsole bei mir zu
Hause und die hat halt immer online
Firmware Updates gemacht jedes Mal wenn
sie gestartet ist das wollte ich nicht
weil die neuen Firmwareversion nicht so
funktionierten man konnte das aber nicht
unterdrücken und abschalten was habe ich
gemacht in diesem Fall ich habe den DNS
manipuliert und die Seite Update meine
spielekonsole.de halt einfach ins lehere
Laufen lassen das war gewollt eine erste
Blockierung von Inhalten durch die
Manipulation eines
dnses die nächste Stufe ist dass
verschiedene Streaming devices die wir
heute haben einen fest eingetragenen DNS
haben und normalerweise immer den DNS
eingetragen haben wer der Hersteller
dieser Streaming devices halt ist auch
das möchte ich nicht ich möchte sehen
auf welche Seite greift mein Streaming
device zu und das war auch mal sehr
schwierig weil man halt in diesem
Streaming device halt keine Änderung des
DNS vornehmen konnte auch nicht per DHCP
und aus diesem Grund habe ich damals
halt DNS Information den Port 53 tcpudp
halt einfach umgelenkt auf meinen
eigenen DNS und schon war ich ihm wieder
im Bilde
im dritten Punkt das Filtern von Werbung
und nicht jugendfreien Inhalten das ist
immer mehr commodity geworden es gibt
ein sehr interessantes Projekt was auf
dem Rust Baby PI läuft das sogenannte
phole und das ermöglicht halt ja Werbung
auszublenden und auch gewisse
inhaltskategorien also hier z.B
jugendfreie Inhalte äh nicht jugendfreie
Inhalte auszublenden und das ist halt
auch ein legitimes Mittel was genutzt
wird das wird nicht nur von einer
Installation die ich zu Hause habe ein
phall abgebildet sondern auch durch
professionelle Dienste die ein ja Filter
für Werbung und jugendfreien Inhalt
halten darstellen und nichts Z schlut
gibt's zum Schluss natürlich noch die
Blockierung von Inhalten aufgrund von
Copyright Verletzungen das kriegt man ja
auch immer wieder mit in der Presse es
ist irgendwo eine böse Seite die hat
einen Domänennamen und man möchte
verhindern dass dieser Domainname
aufgelöst wird also wird sie
normalerweise bei den ISPs im ihrem DNS
resolver einfach unterdrückt und somit
kann man die Seite normalerweise nicht
mehr
aufrufen
ja wenn man vom DNS resolver spricht
dann kann man Daten natürlich mit
protokollieren jeden Dienst den ich im
Internet nutze versucht einen Namen
aufzulösen ob ich eine Webseite Aufrufe
oder meine E-Mail abrufen will immer ist
interter einem Service normalerweise ein
Hostname abgelegt und dieser Hostname
will ausgewertet werden oder gesehen
werden und deswegen hat die Internet
Engineering Task Force schon relativ
früh gesagt
dass sie es nicht gut hält wenn Daten
gemonitort werden ja denn daraus kann
man ein ja Profilbild abbilden man kann
Leute ausuchchen und so weiter und so
fort das Ziel ist eigentlich dass man
nur ein minimalistisches Monitoring
durchführt minimalistisches Monitoring
heißt nur zu technischen Zwecken und
nicht für Werbung Marketing oder
ähnliches
halt
ja auf dieser Basis halt wie kann man
die privat im DNS halt
[Musik]
gewährleisten sind verschiedene
Verfahren ins Spiel gekommen und wenn
man so guckt das hat sich regelmäßig
über immer im Abstand von ein bis zwei
Jahren wirklich entwickelt dass man
gesagt hat wir möchten mehr Privatsphäre
im DNS und man hat
verschiedene Formen eingeführt wie man
diese Privatsphäre halt auch erhalten
kann wir gucken uns gleich diese
Verfahren an wie sie
funktionieren das erste ist die
Namensauflösung wie funktioniert die
Namensauflösung ich hatte schon erwähnt
sie funktioniert rekursiv und das ist
hier in diesen Schritten von 1 bis 8
dargestellt es wird versucht erstmal
hinten die Top Level Domain aufzulösen
das heißt ich gehe an den DNS Server der
die comdomain hier auflösen kann dann
versuche ich die Exampel aufzulösen und
ganz zum Schluss versuche ich den
Hostnamen noch aufzulösen man sieht hier
sehr schön wie ich hier eine rekursive
Auflösung durchführe und wie man sieht
wird die Anfrage aber hier immer als
Full qualified domain name weitergegeben
also jeder der Resolver der hier im mit
dem Boot ist sieht den kompletten
host.example.com und das ist ja
eigentlich nicht schön und aus diesem
Grund wurde im ersten Schritt ein
Verfahren aufgebaut das es heißt es wird
nur die Information an den aufzulösenen
DNS Server gegeben die wirklich nötig
ist also der topl Level Domain sieht nur
komm dann kommt der Domain und dann
kommt eben die Hostname das heißt wir
sind hier sparsamer mit unseren Daten
unterwegs ja die Betreiber eines DNS
resolvers wer ist das ja das sind
normalerweise unsere Internet Service
Provider wir hatten oben in der Folie
schon gesehen dass unser Router halt
normalerweise vom Internet Service
Provider DNS resolver vorgegeben wird
und zum größten Teil weit mehr als 90%
nutzen den halt auch und der Internet
Service Provider kann natürlich diese
Daten protokollieren er wei welche
Seiten welche Dienste der Nutzer
aufgerufen hat und kann diese
Information auch schön an Werbetreibende
weitergeben um einfach das Verhalten der
Nutzer auszuwerten also sollte man sich
bewusst sein jeden Dienst den man nutzt
nutzt ein DNS und damit ist das
Verhalten ja protokollierbar und
auswertbar es gibt einen weiteren
Schritt um die privatsphä im DNS halt
noch ein bisschen ja stärfer zu führen
hat aber auch ein Vorteil dass wir
schnellere antwortszeit haben wir holen
ins die sogenannte rotzone die
transferieren wir uns auf unseren
lokalen resolver wir haben also eine
lokale Kopie der rotzone vorhanden
sodass wir uns nachher beim Auflösen der
eigentlichen Top Level Domain einen
Schritt sparen und
eine antwortszeit die nah von 0
Millisekunden halt ist also aus unseren
acht Schritten einen haostnamen
aufzulösen werden nur noch
sechs ja ähm wie werden Namen aufgelöst
wir sehen hier die verschiedenen Phasen
wie sich das über die Jahre entwickelt
hat und man sollte bitte Achten auf die
Jahreszahlen wir sind 1983 1987 mit dem
Standard DNS der wird DNS over 53
genannt das ist halt für Port UDP TCP 53
benannt da sind wir eigentlich mal mit
gestartet
und es hat über 15 Jahre gedauert bis
man den nächsten Evolution ritt im DNS
gemacht hat nämlich durch die Einführung
den DNS
1999 und dann sieht man aber dass
regelmäßig 2016 2018 2020 das Thema DNS
immer mehr an Fahrt aufgenommen hat und
es wurden immer mehr Verfahren
entwickelt wie man halt Namen im
Internet auflösen
kann wir gucken uns diese einzelnen
Verfahren mal im Detail an und versuchen
für uns auch mal zu bewerten welche vor
und Nachteile haben diese verfahr en und
wie kann man seine privacy wie kann man
ja sicher sein dass der dnsinationen die
man auch bekommt wirklich valide
sind der erste Schritt das Standard DNS
DNS über den Port 53
tcpudp normalerweise wird ein UDP Paket
versendet und man fragt halt an seinen
DNS Server fragt man halt ab bitte lös
mir bitte mal den Namen auf und wie wir
sehen
das ist eine UDP Information da ist
keine Verschlüsselung nichts die Pakete
werden auch nicht mit Checksum versehen
jeder kann hier jederzeit die
Informationen fälschen verändern
blockieren oder auch im schlimmsten Fall
redirecten auf einen schlechten dnssver
der dann falsche Informationen gibt und
dann landet man z.B nicht auf der
wirklichen Seite
www.meinefirma.de sondern von einem
attacker auf der Webseite also sind wir
hier eigentlich ja das ist zwar ein
Modell womit man sehr schnell
namensauslösung machen kann aber es ist
komplett ungesichert und wenn wir das
einfach mal sehen der Standard DNS ist
einfach zu blockieren der ist einfach
umzuleiten der kennt keine
Verschlüsselung und jeder der in der
Kette drin ist kann das mit
protokollieren und kann es manipulieren
da gegen allerdings hat man sehr sehr
schnelle Abfragen Fall es normalerweise
ein Regelfall ein UDP Protokoll ist und
dadurch sehr sehr schnelle Abfragen
möglich
sind ja dieser einfache DNS kann
ja modifiziert werden und das wird ja
auch es gibt hier bei uns in Deutschland
eine Clearingstelle Urheberrecht im
Internet und die verfügt halt
ja auf Antrag dass Einträge von
Webseiten im DNS halt ja modifiziert
werden oder ausgeblendet werden s dass
man diese Webseiten nicht mehr aufrufen
kann das ist also ein erster Schritt in
die Richtung wo man eine Art ja
Manipulation durchführt mich wundert das
dass eine ja Privatorganisation solche
Aktion durchführen kann die Art Zensur
durchführt das ist das was ich
eigentlich nicht sehe ich forere
eigentlich dass ein DNS frei ist dass
jeder den gleichwertig nutzen kann und
dass es hier nicht einfach zu einer
Manipulation kommt schade ist dass diese
Clearingstelle leider auch von allen
großen ISPs und den verschiedenen
Rechteinhabern unterstützt wird so dass
man schon ganz großes Potenzial hat dort
überhaupt ja gehört zu werden halt ähm
wir sehen aber auch im Wikipedia ist
mittlerweile ein Eintrag wie viele
sperren durch DNS halt durchgeführt
worden da kennt man die verschiedenen
Streaming Portale oder illegalen
Streaming Portale die halt durch
einzfülige Verfügungen im DNS halt
ausgeblendet werden sollten und das geht
halt beim JA DNS overport 53 relativ
einfach weil hier ja DNS einräge nicht
verifiziert
werden ja im nächsten Schritt hat man
gesagt ich möchte dass DNS eininträge
ähm nicht mehr ja oder ich möchte wissen
ob ein dnse-eintrag valide ist oder
nicht valide ist deswegen hat man mit
dsen eine ja Schlüssel Situation
eingeführt das heißt jeder
Information wird signiert und man kann
feststellen ob ein Eintrag manipuliert
wurde oder nicht manipuliert wordde
wurde
ist ein Verfahren was sehr stabil läuft
allerdings von vielen immer noch
abgelehnt wird weil die Verwaltung im
der
von Zonen oder keywechseln noch sehr
aufwendig sein sollte ja das war am
Anfang wirklich einfach so weil die
Software halt noch nicht dementsprechend
war aber mittlerweile funktioniert das
Signieren von DNS seczonen eigentlich
automatisiert und sehr zuverlässig und
wenn man
dnsinationen halt ja signiert hat dann
kann man auch davon ausgehen dass
ja sie nicht manipuliert werden können
und man kann dann auch verschiedene
weitere ja sich Dienste darauf aufbauen
in dan ist z.B eine dieser
Implementierung die dann möglich sind
das heißt Zertifikate werden durch eine
schecksom noch mal im DNS abgelegt und
man kann halt überprüfen ob ctifkat auch
noch mal gültig
sind ja dann ist man noch mal ein
Schritt weiter gegangen und hat gesagt
ich möchte nicht nur dass die Einträge
halt durch eine Signatur abgesichert
werden sind sondern ich möchte den
Transportweg dahin verschlüsseln das ist
natürlich gut dann kann keiner mehr dort
reingucken es kann keiner das gan gze
mehr Monitoren eigentlich eine gute Idee
aber als erstes was ist passiert man hat
den Port 853 ausgewählt also einen
anderen TCP IP Port ausgewendet der wird
einfach von den Providern gesperrt und
schon muss man wieder auf den normalen
DNS Dienst zurückgreifen den den wir
wissen im Transportweg nicht
verschlüsselt ist und außerdem hat man
ein weiteres Thema in dem
Bereich dass die Verschlüsselung nur
opportunistisch ist das heißt ja es ist
schön wenn man Verschlüsselung hat es
muss aber nicht sein und wenn ein
attacker dazwischen ist der kann
natürlich ganz klar sagen ich möchte
keine Verschlüsselung haben und schon
ist man wieder unverschlüsselt unterwegs
ja
m viele haben auch gesagt ja die
Auflösung von DNS Informationen über ja
eine verschlüsselter Verbindung ist
vielleicht langsamer ich habe eine röere
roundtriptime ich habe vielleicht auch
mehr CPUs die ich brauche ähm das sind
so diese negativen Sachen die dort im
Raume standen
und dann ist man auf die geniale Idee
gekommen und hat gesagt Mensch bei DNS
over TLS haben wir das Problem dass wir
einen separaten Port benutzen können
warum das machen wir doch einfach wir
nutzen einfach den Standardport den wir
für https benutzen und dann hat man halt
DNS over HTTPS implementiert das heißt
der komplete DNS Traffic wird
https s verschlüsselt übertragen er wir
mit dem normalen https Traffic ja
vermischt so dass man DNS abfragen und
https Abfragen gar nicht mehr
voneinander unterscheiden kann und den
Port 443 den kann man auch nicht ohne
weiteres mal
eben abklemmen weil sonst würde man
keine Webseiten mehr aufrufen können
also eigentlich eine sehr sehr gute
Ausgangssituation
dafür das ganze wird natürlich auch noch
mit tls 13 verschlüsselt TLS 13 hat auch
den Vorteil dass man nur sehr sehr
schwerlich men in the midle Attacken
durchführen kann weil TLS ist nicht
ermöglicht normalerweise ja ein Tunnel
oder ein verschlüssel Tunnel wieder
aufzubrechen
Halt und längere Zeit galt auch die
Sache hat man auch gesagt DNS https
dieser Traffic der https Traffic und DNS
Traffik könnte nicht identifiziert
werden es gab allerdings im November
diesen Jahres gab es eine Studie und
dort hat man indem man die Pakete
analysiert hatte die in diesem gemixten
vermischten Stream halt waren hat man
analysiert mit machine learning und
daraus konnte man halt feststellen dass
in normalen https Paketen auch destdaten
halt verhanden sind m ja auch hier gilt
natürlich die Sache ich führe eine
weitere Verschlüsselung ein ich führe
Zertifikate ein ist das nicht alles
langsamer brauche ich nicht mehr CPUs
und und wie sieht das überhaupt aus aber
eine ganz wichtige Sache ist halt
vielleicht noch wenn ich ein splitfu
haben möchte wir haben das oben gelernt
wir haben eine interne Sicht
von hostnam und eine externe Sicht wie
kann ich das damit abbilden oder kann
ich das überhaupt
abbilden ja man hat das Protokoll noch
mal verfeinert statt über das normale
https Protokoll zu gehen greift man noch
mal auf das quickprokoll zu quickpokoll
gleiche Art und Weise wie es
funktioniert wie https nur ist der ganze
Handshake der geführt werden muss bei
den Verbindungen halt erheblich verkürzt
ja quick ist ein Protokoll was von
Google initiiert wurde aber mittlerweile
auch standardisiert ist und man sieht
hier an halt der Grafik die die Kollegen
von cloudfer zu Verfügung gestellt haben
dass der handck wirklich viel viel
schneller ist und dadurch man ich sag
mal durch die ganze Verschlüsselung
nicht so viele ja Millisekunden
antwortszeiten hinzu
beekommt nächste Stufe ist indem
man iedene DNS ja Proxis implementiert
das nennt sich obles DNS over HTTPS ein
riesenlanger Name aber was passiert denn
da wir haben auf der linken Seite haben
wir wieder unseren cleent also unser
Endgerät das macht über den Port 443
eine DNS Abfrage und diese dnsabfrage
wird nicht sofort an den resolver
weitergeleitet sondern sie kommen
erstmal in einen Proxy und in diesem
Proxy werden alle Anfragen von allen
Endgeräten die es so gibt vermischt und
aus diesem Proxy da sind die an Benutzer
praktisch anonymisiert werden die
eigentlichen ja Anfragen an die dnssver
im Hintergrund gestellt das heißt man
hat eine Mehrschichtigkeit sass hinten
man nicht feststellen kann welcher Kunde
hat welche Seite aufgerufen und die
beiden Bilder mit der Campin da oben
drüber zeigen auch dass dies zwei
unterschiedliche Organisationen sind die
für diesen Proxy und einmal den target
resolver verantwortlich sind sodass man
auch ja sie sich nicht gegenseitig
austauschen können und da rauf eine
Rückverfolgbarkeit des Benutzers und
dessen Verhalten halt dargestellt werden
kann
ja wie gesagt
mehrstufiges Protokoll Proxy und ein
Target dazwischen und der erste der
dieses diesen Gedanken aufgenommen hat
diese Idee aufgenommen hat und darauf
ein Service g hat ist Apple man kann ein
Feature dort buchen bei Apple
mittlerweile das nennt sich private
relay und mit diesem private relay
bekommt man halt ein officies DNS over
HTTPS also meine Aufrufe im DNS können
nicht rückverfolgt werden und man kann
auch nicht sehen was ich gemacht
habe man hat aber jetzt festgestellt
nachdem Apple dieses Feature
freigeschaltet hat auf seinen Geräten
dass verschiedene Punkte halt noch offen
sind es gibt kein quality of service
mehr weil ganz viele DNS abfrag ja von
ganz vielen Usern vermischt werden das
sogenannte Zero Rating das was bei der
Telekom als Stream on oder vodapon passt
gilt dass man halt gewisse Dienste ohne
Anrechnung auf sein Datenvolumen nutzen
kann funktioniert nicht mehr und es ist
auch nicht mehr möglich eine Filterung
von Werbung und jugendfreien Inhalten zu
machen weil man nicht mehr auf den DNS
resolver des ISPs oder einer anderen
Institution
zurückgreift also letzte Evolutionsstufe
und die wir gleichzeitig als bei Apple
als Servicegedanke
aufgenommen ja ähm das was ich gerade
gesagt habe ist hier noch mal einer
Tabelle aufgeführt wir sehen in dem
oberen Bereich die klassischen DNS
Protokolle da sind viele Punkte mit
ähm rot dargestellt das heißt sie sind
nicht so komfortabel was Privatsphäre
angeht sie können auch ja verändert
werden und die neueren Protokolle kommen
halt immer mehr dazu hin bessere
Verschlüsselung bessere Anonymität und
bessere Privatsphäre
halt ja ähm schlagen wir noch mal dass
das Thema Geschäftsmodell
Namensauflösung wo findet das
eigentliche Geschäft der Namensauflösung
statt natürlich in der Protokollierung
und Auswertung durch den ISP oder
Werbetreibende aber auch wenn wir bei
DNS over HTTPS reden Konzentration auf
wenige und auch diese wenigen großen
Cloud DNS Provider können protokollieren
auswerten und natürlich versucht man
diese großen Cloud DNS Provider zu
beeinflussen wir haben hier die
Geschichte von der quad9 wo hier in
Deutschland Sony Music erfolgreich gegen
quartnein geklagt hat und quartnein halt
den DNS manipulieren musste und das
Geschäftsmodell funktioniert auch
weiterhin kostenlichtigen Dienst
anzubieten wie Apple das macht und
Insider Kreise sprechen mittlerweile
nicht mehr von dem ja Browserkrieg
welcher Browser ist der beste sondern
über den dnsrieg und deswegen möchte ich
meinen Vortrag schließen wenn ich ein
DNS resolver man nutzt dann sollte sehr
umsichtig sein und wissen welche
Technologien er
unterstützt vielen
dank vielen Dank
Jörg C3 News Einblenden der heute morgen
um 11 Uhr rauskam und danach geht's dann
mit der Q&A session
weiter
okay Entschuldigung wir machen erstes
Q&A und danach kommt der C3 News
AP
okay genau wir haben ziemlich viele
Fragen
bekommen genau ich geh einfach der Reihe
nach durch ein lokaler DNS bietet die
Möglichkeit ungewünschte Anfragen zu
blockieren und Namen für lokale Dienste
auf aufzulösen ist dies kein sinnvoller
Einsatz für lokales
DNS also lokalen DNS aufzusetzen ist
immer sinnhaft finde ich sinnvoll das
auf jeden Fall zu machen würde ich immer
wieder bevorzugen ich als jenige der ein
privaten dnssver resolver aufsetzt hat
immer den Vorteil ich habe das unter
Kontrolle ich weiß was mitprotokolliert
wird ich weiß ob die Einträge valide
sind deswegen befürte ich das befürworte
ich das auf jeden Fall ein privaten DNS
selber aufzusetzen das glaube ich auch
eine Möglichkeit dann also den Port 53
wie du sagtest umzuleiten und dann auf
sein lokalen DNS und ja so so so so ein
phole der auf raspberry läuft ist auch
für für Endanwender halt relativ einfach
zu konfigurieren und hat viele
Möglichkeiten der unterstützt auch die
neuen DNS Protokolle also kann ich nur
ermutigen sowas einfach zu nutzen dazu
gab's auch eine Frage heißt das dass ich
meinen phole in Zukunft als hyperlcal
root betreiben soll ja das ist möglich
man kann den phole so umkonfigurieren
dass die die rutzone regelmäßig ja sich
holt und dann praktisch man hyperlcal
betreibt bei sich zu
Hause gibt es weitere Frage gibt es
information was die Provider mit den
Logs von DNS-Anfragen der Kunden machen
können diese Informationen von denen
weiter genutzt weiter verkauft werden
also mir liegen direkt keine offiziellen
Statements der Provider zu allerdings
weiß ich natürlich aus guten Quellen
dass das halt passiert und dass das ein
Geschäftsmodell halt ist ja gibt es
neben danke gibt es neben Mozilla und
Chrome weitere Anzeichen ob DNS Abfragen
auf Applikationsebene zur Umgehung von
Werbeblockern z.B phol bereits genutzt
werden also man man sieht immer mehr
Applikationen die auf dem eigenen
resolver halt zugreifen wollen
aber es ist halt noch nicht so
standardisiert dass jetzt viele
Applikationen darauf aufspringen also
ich glaube das ist noch eine Entwicklung
aber es wird massiv zunehmen meines
sachens nach und da hatte ich auch eine
Frage zu ähm wie kann ich das sehen wenn
ich jetzt
im beim Browsen bin und das ob die
Webseite dann letztlich ihren eigenen
DNS da benutzt oder nicht ja beim Chrome
ist es schwierig da ist es nicht
transparent beim Firefox gibt's Add-ons
und die Addons zeigen halt wie die DNS
Auflösung funktioniert hat hat sie über
DNS sec DNS sec mit http mit DNS over
HTTPS funktioniert da kann man das halt
sehen und sich anzeigen lassen aber bei
allen anderen Browsern wird das ein
wenig schleiert weil die
Browserhersteller natürlich auch eine
Art Geschäftsmodell dahinter sehen ne ja
danke gibt es deine Folien zur
Präsentation zum Runterladen natürlich
vielen dank der Talk fragt nach DNS als
neues Geschäftsmodell nur gab es hier
Video auch angesprochen hat es das
Urteil des
lghh gegen Quart 9
und der eben DNS als Geschäftsmodell hat
dieser soll damit verpflichtet werden
bestimmte Media Server Verteilung von
der von der DRM geschützt Inhalten von
Dritten nicht mehr aufzulösen zu
blockieren was denkst du über dieses
Urteil ich finde es dürfen Daten nicht
manipuliert werden oder zensiert werden
deswegen finde ich das ist das der
falsche Weg und es gibt ja auch eine
Spendenaktion für Quart ne damit halt
rechtlich dagegen vorgegeen kann und
damit diese Sperren wieder aufgehoben
werden kann einfach mal im internet
gucken und einfach mal quad9
unterstützen quad9in ist einer der DNS
Provider die ein offenes Modell fahren
die transparent sind äh die auch extra
deswegen von die USA in die Schweiz
gegangen sind damit sie das halt auch
fahren dürfen und ich find's wichtig
dass wir das unterstützen ja gibt es
Empfehlungen für dnsfilter im
organisationsumfeld bei Firmen äh womit
man z.B bekannte Mailware Domains auf
DNS Ebene blockieren kann ja gibt's
verschiedene Seiten im Internet wo man
sich Listen runterladen kann und in sein
DNS integrieren kann es ist natürlich
immer schwierig solche Listen zu
bewerten wie gut oder schlecht sind die
aber die gibt es ja
welche ist die beste Methode die lokale
DNS entries von meinem ISP zu bekommen
damit ich rausfinden kann welche Domains
zensiert sind ha schwierig festzustellen
was zensiert ist oder nicht zensiert ist
wenn eine Domain mit dns6 signiert ist
dann kann man das feststellen dass sie
modifiziert wordde aber sonst wird es
sehr sehr schwierig zum Teil das
rauszufinden was ist danke was ist die
Motivation der ISPs den Port zu blocken
und wie verbreitet ist das in
Deutschland das ist genauso als wie man
vor vor nicht allzu langer Zeit den Port
25 für ausgehende E-Mails blockiert hat
und genauso ist das auch im dnsbereich
ja das findet statt und letzte Frage
welcher öffentliche dnssver ist das
geringste
übelut nein ich würde sagen es gibt von
freifun München eine DNS resolver
Infrastruktur die man nutzen könnte und
die man einfach mal ausprobieren sollte
ja da ist man das kommt aus dem Bereich
der Freifunker das ist alles offiziell
dokumentiert man kann sehen was sie
machen es wird nichts protokolliert das
wäre al eine wirkliche Alternative
vielen vielen dank dir Jörg Jörg
[Musik]
backschuss