Privacy

DNS over HTTPS verschlüsselt deine Auflösungen, was gut ist, und schickt sie an einen Resolver nach Wahl des Clients über Port 443, was das Problem ist. Dein eigener Resolver sieht die Anfrage nie, also verschwinden die Sperrliste, an der sie gescheitert wäre, der Threat-Feed, den sie getroffen hätte, und die Logzeile, die sie geschrieben hätte. Dieser Beitrag geht den Mechanismus durch: warum eine verschlüsselte Web-Verbindung unter Tausenden an der Grenze unsichtbar ist, wer auf einer Maschine einen Resolver wählen kann, den du nie gewählt hast (das OS, der Browser, jede App, jedes Skript auf jeder Webseite, und Malware), und die dokumentierten Fälle, vom eigenen JavaScript einer Seite, das einen öffentlichen DoH-Endpunkt abfragt, über Godlua und PsiXBot, die ihren Command-Kanal in DoH verstecken, bis zur OilRig-APT, die Daten darüber exfiltriert. Dann der Nachweis, dass die Privatsphäre-Geschichte eine Tarnung ist: DNS over TLS verschlüsselte DNS bereits 2016, auf einem Port, den der Netzbetreiber weiter regeln kann, sodass das Einzige, was DoH darüber hinaus bringt, das Aushebeln des Admins ist, weshalb die Browser-Hersteller, die es schrieben und auslieferten, und die Werbefirma, die den größten öffentlichen DoH-Resolver betreibt, die Gewinner sind. Dann die Lösung, die nicht darin besteht, Verschlüsselung zu verbieten. Betreibe deinen eigenen DoH- und DoT-Resolver, kündige ihn mit Discovery of Designated Resolvers an, weise Port 53, Port 853 und bekannte öffentliche DoH-Resolver an der Grenze ab, und beantworte die Firefox-Canary, damit der Browser sich zurückzieht. Behalte die Verschlüsselung. Hol dir zurück, wer den Resolver wählt. Er schließt mit den Folgen: Dieselbe DNS-basierte Durchsetzung läuft quer durch Europa und in Australien, und Gerichte in Italien, Frankreich, Belgien und Deutschland ordnen inzwischen den öffentlichen Resolvern selbst das Sperren an, wobei Cloudflare mit einer Strafe belegt ist und Berufung einlegt, Google stillschweigend verweigert und OpenDNS sich für ganze Länder abschaltet. Das Muster darunter ist ein US-Design, das der Welt aufgezwungen wird, und eine US-Regierung, die die Gesetze anderer Länder als Erpressung amerikanischer Firmen brandmarkt und ihnen rät, nicht zu befolgen.

Newsquest, National World, Reach und andere schicken deinem Browser den vollständigen Artikel samt Stylesheets und lassen dann kommerziellen Anti-Adblock- und Consent-Code laufen, der die Seite leert, alle 100ms jedes Stylesheet löscht oder sie mit der Wahl zwischen 1.467 Tracking-Partnern und 2,99 £ im Monat zudeckt. Der Beitrag zeigt, was dieser Code tut, die vier Gründe, warum ich ihn Malware nenne, und die Chrome-Erweiterung, die ich an einem Tag gebaut habe, um die Seite zu behalten: Newsquests adLight-Flag festnageln, bevor die Wand entsteht, die aus eval geplanten Timer verwerfen, den Stylesheet-Stripper schon beim Einplanen töten und Einwilligung richtig verweigern, indem die TCF-API mit Nein beantwortet, der eigene Ablehnen-Knopf des Anbieters gedrückt und der Datensatz nie gespeichert wird. Dann die Fixes, die es schlimmer machten, die Messung, die eine kaputte Seite für gut erklärte, Teilen-Knöpfe und der MSN-Feed, und was die Erweiterung nicht tut.

Sobald ein Anbieterwechsel schwer ist, ändern die Kosten ihre Gestalt. Der Preis folgt deinen Wechselkosten. Gewinn wird in einem Land erklärt und in einem anderen erwirtschaftet. Das Recht folgt dem Eigentümer der Firma, nicht dem Standort des Gebäudes. Teil 2 von 8, in einfacher Sprache.

Einen Anbieter aus Sicherheitsgründen auszuschließen braucht einen Maßstab, gleichmäßig angelegt. Teil 6 von 8 legt dar, was zu geschwächten Produkten und zum Abfangen belegt ist, samt einer schweizerischen parlamentarischen Untersuchung, und zeigt, warum ein eingebauter Zugang dem gehört, der ihn erreicht.