Vertrauensvolle DNS Server

Hi,
was ist denn für Dich ein "vertrauensvoller DNS Server"? Wann vertraust Du einem DNS-Server und wann nicht?

E.

Es gibt ja auch DNS Server, die ich persönlihc nicht als Vertrauensüwrdig einstufen würde.

Bei der Telekom und einigen Dialin-Anbietern wurde früher meinem Rechner z.B. ein DNS Server im Providernetz zugewiesen, der mir z.B. falsche Antworten lieferte und sporadisch Anfragen auf Werbeseiten umgeleitet hat. Und Google stellt natürlihc den 8.8.8.8 zur Verfügung, aber der steht in den USA genauso wie der von Cloudflare unter 1.1.1.1 und unterliegt manipulativen Eingriffen seitens der US-Behörden, z.B. bestimmte Hosts nicht aufzulösen oder die Anfragen statistisch auszuwerten und den Anfragenden damit mit einem Werbetracker zu verdonglen.

Es gibt sogar Anbieter, die am offiziellen DNS vorbei arbeiten um z.B. neue TLDs anzubieten (eine TLD vom ICANN kostet nicht ganz eine Million US$, schon die Bewerbung dazu 150.000 US$) und nur Anfragen forwarden, die von echten TLDs kommen.

Man müßte dann also selbst einen betreiben, der an die TLD-verantwortlichen DNS Server direkt wendet , also von dServern die eine "authoritative answer" geben können. Das macht dann shcnell mal ein paar tausend forward lookup zones.

Nur macht man das so, dann hat man erhebliche Latenzen schon beim simpelsten Seitenaufruf z.B. auf Spiegel.de, weil die ganzen Werbetracker dutzende, tlw bis zu 100 DNS Anfragen pro aufgerufene HTML Seite provozieren und jede DNS Anfrage halt Zeit kostet.

Deshalb cacht man das normalerweise bzw. greift auf DNS Cache-Server des eigenen Internetproviders zurück um schnell an DNS Antworten zu kommen... aber jedermann ist ja seines eingenen Glückes Schmied. DNSSEC heißt schließlich nur, daß die Anfrage und die Antwort verschlüsselt übertragem werdem, aber DNSSEC stellt nicht sicher, daß die Antwort auch korrekt ist.

9.9.9.9 soweit man irgendwelchen Äußerungen von Unternehmen überhaupt vertrauen möchte.

Ein reiner Resolver hat keine einzige "Forward Lookup Zone". Er hat nur die "Root hints" in der die Adressen der 13 authoritativen DNS-Rootnameserver drin stehen, der Rest wird durch herumfragen und caching gemacht.
Und das geht selbst an einem DSL-Anschluss so schnell, dass man in der Geschwindigkeit der Namensauflösung spätestens nach ein paar Stunden keinen Unterschied mehr feststellt.



Ganz im Gegenteil. Die Anfragen und Antworten werden weiterhin unverschlüsselt übertragen, aber digital signiert, damit man Manipulation erkennen kann...

Und was ist mit DoH bzw. DoT, was von immer mehr Browsern und Endgeräten gerne benutzt werden will?

Hallo,

Du kannst im Prinzip auch jeden Pi-Hole-Server nehmne.
Viele stehen in Europa und sind öffentlich.

Stefan

Da werden meines Wissens bestimmte Domains mit Schadsoftware zensiert.