DNS over HTTPS maakt internet veiliger, maar tegen welke prijs?

DoH maakt online gaan in principe een stukje veiliger en draagt bij aan de privacybescherming van internetgebruikers, maar de gevolgen voor het domain name system (DNS) zijn mogelijk ingrijpend. Verschillende grote techbedrijven hebben aangekondigd dat het op hun roadmap staat, en een aantal is al bezig met de implementatie, waaronder Google, Apple en Microsoft. Maar het is Mozilla dat met Firefox kiest voor de meest agressieve uitrol. Mozilla gebruikt DoH als standaard in de Firefox-browser, waardoor deze DNS-verzoeken afhandelt via door Firefox vertrouwde partijen in de VS. Een beslissing die overigens inmiddels alweer deels is teruggedraaid (DoH is alleen voor gebruikers in de VS als standaard ingesteld). Toch blijven er in de wereldwijde internetgemeenschap zorgen over de implicaties.

Vertrouwde resolver

Wat is er precies aan de hand en waarom is DoH zo controversieel? Het DNS-protocol is al sinds 1983 het ‘telefoonboek van het internet’. Via het DNS verkrijgt je browser het IP-adres waar je een website met een specifieke domeinnaam kunt vinden. Het verkeer bestaat uit een uitwisseling van vragen die je browser via een eenvoudige stub-resolver van je computer of telefoon stelt aan een recursive-server in het netwerk. Dit is meestal je internetprovider (vanaf je thuisnetwerk of voor je telefoon) of de resolver van je bedrijf. DNS-verkeer is niet versleuteld en dit is vooral op publieke wifi-netwerken een probleem. Omdat het netwerk onversleuteld is, is het voor derden mogelijk je verkeer uit te lezen, te blokkeren of te manipuleren. DoH lost dit probleem op door DNS-queries te versleutelen via een beveiligde verbinding (HTTP met TLS) met een vertrouwde resolver.

Toch is de introductie van DoH in Firefox vooral een reactie op een ander probleem, namelijk dat Amerikaanse Internet Service Providers (ISP's) DNS-verkeer van klanten doorverkochten. “Dit vond men bij Mozilla echt niet kunnen”, legt Moritz Müller uit, research engineer bij SIDN Labs. “Daarom werd besloten dat het voor gebruikers in de VS beter en veiliger zou zijn als Firefox dns-verkeer niet naar de resolver van de lokale ISP zou sturen, maar naar de resolver van Cloudflare. Met Cloudflare waren duidelijke privacyafspraken gemaakt die beter leken dan de afspraken tussen de gebruiker en de ISP. Vanuit privacyoogpunt is dat een voordeel in de VS.”

Internet centraliseert verder

De VS zijn echter geen Europa, waar we betere privacywetgeving hebben in onder meer de AVG. Europese ISP's mogen bijvoorbeeld niet zomaar DNS-verkeer gebruiken voor marketingdoeleinden. Verschillende Europese providers blokkeren DoH zelfs, zo beschreef Müller onlangs in zijn recente blogpost. “Als je in Europa de resolver van je ISP gebruikt, is je DNS-verkeer eigenlijk best goed beveiligd.” Wel is het natuurlijk zo dat het versleutelen van DNS-verkeer over https het securityprobleem op publieke netwerken oplost. De DoH-resolver versleutelt de query, zoekt de antwoorden en geeft deze vervolgens ook weer versleuteld terug aan je apparaat. Dit gebeurt in milliseconden, zonder merkbare gevolgen voor je internetervaring - ook op oudere en langzame apparatuur. De controverse rondom de beslissing van Firefox richtte zich aanvankelijk vooral op het doorsturen van verkeer naar een partij waar de gebruiker tot dan toe geen relatie mee had (Cloudflare). Een beweging richting centralisatie naar één of slechts enkele partijen.

Het gevaar van deze centralisatie is vooral het ‘wat als’. Wat als deze partijen niet beschikbaar zijn? En hoe zijn we beveiligd tegen machtsmisbruik door deze partijen? Wie zich zorgen maakt over latency doordat een Amerikaanse partij internetverkeer afhandelt: daar hoeft geen sprake van te zijn. “Cloudflare heeft wel meer resolvers dan eentje in de VS, het heeft een Anycast-serverinfrastructuur verspreid over de wereld. Wat betekent dat je DNS-query in Nederland waarschijnlijk in een Amsterdams datacenter uitkomt.” Overigens heeft Firefox, dat het systeem voor de VS nu wel standaard aan het uitrollen is, in reactie op de kritiek inmiddels meer vertrouwde DoH-resolvers aangesloten dan alleen Cloudflare. Dit zijn onder meer Next DNS en - ironisch genoeg - de Amerikaanse ISP-provider Comcast, waarmee specifieke afspraken zijn gemaakt over privacyvoorwaarden.

Experimenteren met het protocol

Als gebruiker kun je zelf je resolver kiezen, maar de default is bij Firefox een van de bovenstaande partijen. Müller: “Je kunt dit zelf instellen via het instellingenmenu. Dit vind je in de Nederlandse versie onder ‘Opties’, ‘Algemeen’, ‘Netwerkinstellingen’ en dan de knop ‘DNS over HTTPS inschakelen’. Je kunt het daar aanzetten en een partij uitkiezen, maar ook zelf een IP-adres of url invullen van een DoH-resolver. Bijvoorbeeld onze eigen experimentele DoH-dienst bij SIDN Labs.”

Er zijn verschillende redenen waarom je dit als gebruiker zou doen. Je zit bijvoorbeeld op een publiek netwerk. Het kan ook zijn dat je een netwerkbeheerder bent en blacklists gebruikt van malafide domeinnamen om ‘slecht’ netwerkverkeer op je DNS-resolver te filteren. Müller: “Met onze DoH-resolver kun je dan testen in hoeverre de beveiliging het nog doet als een gebruiker binnen het netwerk DoH op zijn of haar browser aanzet. Als je de tool Wireshark gebruikt om je netwerkverkeer te monitoren, dan zie je, als je DoH in je browser aanzet, bijna geen DNS-verkeer meer over poort 53 (DoH-verkeer gaat via poort 443, waar al het https-verkeer gebruik van maakt, red.)”. Niet meer zomaar af te luisteren dus, al geef je bij gebruik van DoH toch ook nog op verschillende manieren wat informatie weg. Dus helemaal perfect is het nog niet. “Iemand anders kan bijvoorbeeld nog steeds zien naar welke servernaam je verbindt, maar daar wordt aan gewerkt via ESNI. Als je echt niet wilt dat iemand anders ziet wat je doet op het internet, heb je een VPN nodig en moet je al je verkeer versturen naar een server die je vertrouwt en bij voorkeur onder jouw volledige controle staat.”

Zoals gezegd is Mozilla niet de enige partij die bezig is met DoH. Zo is het ook mogelijk om DoH te gebruiken met Google Chrome, dat een lijst hanteert van vertrouwde resolvers die gebruikers in hun besturingssysteem kunnen configureren. Als een gebruiker een van deze resolvers gebruikt om plain text DNS-queries te versturen, zal Chrome automatisch de verbinding upgraden naar DoH. Ook Microsoft test in Windows het automatisch upgraden van de verbinding naar de in het besturingssysteem ingestelde resolver, als die DoH ondersteunt. Apple, dat zich de laatste jaren steeds meer positioneert als pleitbezorger van privacy, heeft een heel eigen aanpak met IoS, iPadOS en MacOS, vertelt Müller. “Op hun Developer Conference kondigden zij onlangs aan DoH te gaan ondersteunen. Zo kun je als app-ontwikkelaar bijvoorbeeld zelf resolvers hiervoor instellen, of je kunt in de toekomst zelf een DoH-resolver voor het hele systeem kiezen.”

Wie controleert het internet?

De hele saga rondom de invoering van het nieuwe protocol roept de vraag op wie er eigenlijk bepaalt waar ons internetverkeer naartoe gaat. Welke controle heeft Nederland en Europa eigenlijk over ‘ons’ deel van het internet? Müller: “Tot op zekere hoogte is die er wel, maar dan wel via de politiek. Uiteindelijk is het verhaal rondom DoH te technisch voor een gemiddelde gebruiker. Dat betekent dat er op een hoger niveau iets moet gebeuren en dat Europa invloed moet uitoefenen op grote techpartijen.” De roep om regulering van browsers klinkt steeds sterker. Tegelijkertijd volgt SIDN de ontwikkeling van DoH op de voet, door het verrichten van internetmetingen en het informeren van internetgebruikers. Ook moedigt SIDN gebruikers aan vooral zelf te experimenteren en een opinie te vormen.

Moritz schetst het doel van SIDN: “Wij willen het Nederlandse publiek een objectief beeld over DoH geven. Er zijn weinig partijen in de markt die zich hiervoor inzetten. DNS is een belangrijk maar vaak onderschat protocol, en er zijn weinig partijen die waken over de veiligheid en privacy. Wij vinden privacy belangrijk en daarin is DoH een goede stap, maar niet zonder meer. Het kan in bepaalde situaties veiliger zijn, bijvoorbeeld als je in een netwerk zit dat je niet vertrouwt, maar het kan ook een zorgvuldig beveiligingsbeleid binnen een bedrijf omzeilen en dus ondermijnen. We begrijpen waar DoH vandaan komt en het is goed dat partijen in de markt zich ermee bezighouden. Maar er zijn ook (neutrale) partijen nodig, zoals SIDN, die toezien op dat proces, zodat alle belangen op een objectieve manier worden meegenomen en tegen elkaar kunnen worden afgewogen”.

Dit kennisartikel verscheen op 16 juli 2020 op Tweakers.nl