DNS over TLS (DoT) ist die verschlüsselte Namensabfrage über einen eigenen Port, erkennbar und sperrbar. Der Inhalt ist geschützt, die Tatsache der Abfrage bleibt sichtbar.
- DNS over TLS (DoT)
Die verschlüsselte Namensabfrage über einen eigenen Port, erkennbar und sperrbar.
Beispiel: „Der Router im Büro fragte über DNS over TLS, und das Netz konnte den Verkehr trotzdem zuordnen.“Festgelegt 2016 und damit älter als die Variante über HTTPS. Der Port ist 853; Android nutzt das Verfahren seit Version 9 unter dem Namen privates DNS.
Abgrenzung zu DNS over HTTPS: Dieses versteckt sich im Webverkehr. DoT bleibt als DNS erkennbar und lässt sich deshalb gezielt erlauben oder sperren.
Was DNS over TLS von DoH unterscheidet
Die Sichtbarkeit im Netz. Ein eigener Port macht den Verkehr zuordenbar: Ein Unternehmen kann ihn erlauben, umleiten oder unterbinden, ohne den gesamten Webverkehr anzufassen.
Für den Schutz des Inhalts macht es keinen Unterschied. Beide Verfahren verschlüsseln dieselbe Frage auf demselben Weg.
Wo DNS over TLS eingesetzt wird
Auf Geräten und in Netzen statt im Browser. Android bringt es mit, Router und Firewalls bieten es an, und Betreiber eigener Resolver nutzen es für die Strecke zu einem vorgelagerten Dienst.
Damit gilt eine Einstellung für alle Geräte im Netz, statt in jedem Browser einzeln gesetzt zu werden, siehe Recursive DNS-Server.
Was beide Verfahren nicht leisten
Sie machen die Antwort nicht echt. Verschlüsselung schützt die Strecke, prüft aber nicht, ob der Inhalt stimmt; dafür braucht es unterschriebene Antworten, siehe DNSSEC.
Und sie ändern nichts daran, dass der gewählte Dienst alles mitliest. Wer Vertraulichkeit will, wählt den Anbieter bewusst oder betreibt selbst einen.