Het grote privacy-gerichte DNS server topic

[xbeam]

Cloudflare logt wel degelijk dat zijn ze netzo als alle Amerikaanse dns providers wettelijk verplicht.

Tweakers heeft hier een security speciale aan gewijd. In Nederland heb je geen enkele rede om bijv 1.1.1.1 en is het al helemaal not done om 8.8.8.8 te gebruiken. Het gebruik er van verslechterd zelf je privacy en prestaties wat betreft open en anoniem internet gebruik.

[ Voor 87% gewijzigd door xbeam op 29-05-2022 17:27 ]

[Airw0lf]

oudje67 schreef op zaterdag 7 mei 2022 @ 15:04:
Ik snap niet dat mensen externe SNS servers gebruiken vanwege privacy. Want privacy en gebruik maken van 1 dienst voor alle dns staat haaks op elkaar.

Zelfde als DNS over HTTPS, dat is gewoon een antwoord van Facebook, Google en Cloudflare om er voor te zorgen dat reclame en profiling niet meer eenvoudig geblokkeerd kan worden.

De enige goede en veilige methode is gebruik maken van een eigen caching BIND/DNS server welke zelf de queries naar de Root servers to stuurt. Dan is er nagenoeg geen profiel op te bouwen, zeker wanneer het ook nog eens via een VPN gaat.

Heb je een PiHole of een NAS met DNS server dan heb je daarvoor al de standaard tools tot je beschikking.

Mja - ok. Dit is inderdaad het maximaal haalbare.

Maar is daarmee gegarandeerd dat de eigenaars/beheerders van die root servers die gegevens *niet* loggen en doorverkopen? Of een ISP die de gegevens richting de root servers aftapt, logt en verkoopt voor verdere profilering?

Daarnaast denk ik dat de profileringstools tegenwoordig zo goed zijn dat dit soort dingen hooguit een vertragende factor is - en nog niet eens eentje van enige omvang: na een paar minuten/uur is er een eerste resultaat te verwachten.

Noem me paranoia - maar punt is ook dat overheid, ISP's en IT-fabrikanten (hard- en software) hier niet serieus mee bezig zijn omdat ze nul belang hebben bij privacy en anonimiteit! En dat beetje wat ze doen is meer window-dressing dan iets anders.

Mijn inschatting is dat behoudt van privacy een verloren strijd is... beter is om de aan privacy gerelateerde besluitvorming zoveel mogelijk proberen te beïnvloeden...

[JackBol]

Airw0lf schreef op woensdag 15 juni 2022 @ 21:31:
Maar is daarmee gegarandeerd dat de eigenaars/beheerders van die root servers die gegevens *niet* loggen en doorverkopen?

De zone files worden beheerd door ICANN maar de root servers worden gehost door commerciële partijen. Dus wie weet. Maar het enige wat je daar kan zien, is naar welk TLD je gaat (.com, .nl, etc). Als je je daar zorgen over maakt, kan je maar beter eens in de zoveel tijd de hele root zone cachen en lokaal opzoeken.
Maar dan heb je het zelfde probleem 1 niveau lager. Vertrouw je de ccTLD servers?

Punt is, als je Authoritative DNS servers niet vertrouwt, kan je maar beter van het Internet weg blijven.

Mijn inschatting is dat behoudt van privacy een verloren strijd is... beter is om de aan privacy gerelateerde besluitvorming zoveel mogelijk proberen te beïnvloeden...

Wel, wat houdt je tegen om op de Web3 trein te springen? Die belooft een hoop

[ Voor 15% gewijzigd door JackBol op 15-06-2022 22:31 ]

[Airw0lf]

JackBol schreef op woensdag 15 juni 2022 @ 22:30:
[...]

De zone files worden beheerd door ICANN maar de root servers worden gehost door commerciële partijen. Dus wie weet. Maar het enige wat je daar kan zien, is naar welk TLD je gaat (.com, .nl, etc). Als je je daar zorgen over maakt, kan je maar beter eens in de zoveel tijd de hele root zone cachen en lokaal opzoeken.
Maar dan heb je het zelfde probleem 1 niveau lager. Vertrouw je de ccTLD servers?

Punt is, als je Authoritative DNS servers niet vertrouwt, kan je maar beter van het Internet weg blijven.

[...]

Wel, wat houdt je tegen om op de Web3 trein te springen? Die belooft een hoop

Punt dat ik wilde maken is dat als het gaat om privacy bescherming het op dit moment eigenlijk niet meer uit maakt - zelfs met die Web3-trein. Want ook daar zitten grote(re) commerciële partijen achter... en die doen dat ook niet uit liefdadigheid...

[JackBol]

Airw0lf schreef op donderdag 16 juni 2022 @ 10:21:
[...]


Punt dat ik wilde maken is dat als het gaat om privacy bescherming het op dit moment eigenlijk niet meer uit maakt - zelfs met die Web3-trein. Want ook daar zitten grote(re) commerciële partijen achter... en die doen dat ook niet uit liefdadigheid...

Ik ben het helemaal met je eens. Vrijwel alle DAOs hebben commerciële backing.
Die Jack Dorsey komt nu met het Web5 idee, wat dat probleem weer zou moeten oplossen, maar ja, Jack Dorsey......

[Juup]

Airw0lf schreef op woensdag 15 juni 2022 @ 21:31:
Mijn inschatting is dat behoudt van privacy een verloren strijd is...

Ik zie dat anders. Met een paar "simpele" ingrepen kun je het enkele bedrijven veel moeilijker maken om data over je te verzamelen.
En Google en Facebook moeten daarvoor bovenaan je lijstje staan wmb.

[CAPSLOCK2000]

oudje67 schreef op zaterdag 7 mei 2022 @ 15:04:
De enige goede en veilige methode is gebruik maken van een eigen caching BIND/DNS server welke zelf de queries naar de Root servers to stuurt. Dan is er nagenoeg geen profiel op te bouwen, zeker wanneer het ook nog eens via een VPN gaat.

Behalve dan door je VPN-provider, die kijkt nog steeds lekker mee. Een VPN is het probleem verplaatsen. Dan is de vraag of je meer vertrouwen hebt in je ISP of in je VPN (en alle toepasselijke wetten en toezichthouders)?

Voor zover ik weet ondersteunen de root-servers nog geen privacy-vriendelijke (of op z'n minst versleutelde) protocollen. De meeste authorative servers trouwens ook niet. Een beveiligd transportprotocol zoals DNS-over-HTTPS of DNS-over-TLS is een goede eerste stap maar eigenlijk ook niet meer dan een eerste stap. Want wederom is het vooral het probleem verplaatsen naar de resolver. Als je zelf de enige gebruiker en beheerder van die resolver bent heb je wat bereikt maar voor de meeste mensen is dat niet uitvoerbaar zeker als je ook wil privacy wil ten opzichte van je huisgenoten.

De volgende stap is moeiijk: we moeten iets gaan doen met privacy ten opzichte van de beheerder van de resolver. Dat is lastig omdat een resolver (dusver) de spin in het web is die precies ziet wie er welke domeinen bevraagd.
Een mogelijke oplossing is ]Anonymized DNSCRYPT.
De makkelijkste manier om dat te omschrijven is DNS-met-ingebouwde-TOR.
In plaats van direct queries voor gebruikers af te handelen wordt je verkeer doorgespeeld naar andere servers die (een deel van) het werk doen zonder te weten voor wie ze dat doen.


PS. Zelfs als je alleen versleutelde DNS en HTTPS gebruikt ben je nog steeds niet veilig. Met een sniffer kun je nog steeds veel zien aan IP-adressen en SNI-headers.

[F_J_K]

Volledig private gaat 'em praktisch niet worden nee. 100% via Tor, traag en allerhande diensten geblokkeerd.

Elk device een andere zoveel mogelijk te vertrouwen DNS kan. Maar dan kan ik mijn PiHole niet meer gebruiken en die doet IMHO meer qua privacy dan de DNS. Ik heb het daarom eerlijk gezegd opgegeven en gebruik nu alleen DNS.Watch - al overweeg ik Quad9 (filtered) juist wegens de filtering.

[Glassertje]

In de startpost staat dat Cloudflare geen DNSSEC zou hebben, maar dit klopt niet.

[Jerie]

CAPSLOCK2000 schreef op dinsdag 21 juni 2022 @ 11:37:
[...]


Behalve dan door je VPN-provider, die kijkt nog steeds lekker mee. Een VPN is het probleem verplaatsen. Dan is de vraag of je meer vertrouwen hebt in je ISP of in je VPN (en alle toepasselijke wetten en toezichthouders)?

Voor zover ik weet ondersteunen de root-servers nog geen privacy-vriendelijke (of op z'n minst versleutelde) protocollen. De meeste authorative servers trouwens ook niet. Een beveiligd transportprotocol zoals DNS-over-HTTPS of DNS-over-TLS is een goede eerste stap maar eigenlijk ook niet meer dan een eerste stap. Want wederom is het vooral het probleem verplaatsen naar de resolver. Als je zelf de enige gebruiker en beheerder van die resolver bent heb je wat bereikt maar voor de meeste mensen is dat niet uitvoerbaar zeker als je ook wil privacy wil ten opzichte van je huisgenoten.

De volgende stap is moeiijk: we moeten iets gaan doen met privacy ten opzichte van de beheerder van de resolver. Dat is lastig omdat een resolver (dusver) de spin in het web is die precies ziet wie er welke domeinen bevraagd.
Een mogelijke oplossing is ]Anonymized DNSCRYPT.
De makkelijkste manier om dat te omschrijven is DNS-met-ingebouwde-TOR.
In plaats van direct queries voor gebruikers af te handelen wordt je verkeer doorgespeeld naar andere servers die (een deel van) het werk doen zonder te weten voor wie ze dat doen.


PS. Zelfs als je alleen versleutelde DNS en HTTPS gebruikt ben je nog steeds niet veilig. Met een sniffer kun je nog steeds veel zien aan IP-adressen en SNI-headers.

(Dikgedrukt door mij.)

Nou, dat veilig moet je zorgvuldig beargumenteren. Ik denk dat je hier doelde op anoniem (wat een zeer hoge lat is, net als 'veilig').

DNS over TLS heeft de chain of trust van root servers naar (cc)TLD naar domain naar subdomain. Het zorgt voor veel overhead en single point of failure. Wat je ook terugziet in downtime sinds het uit is gerold (inclusief downtime op volledige (cc)TLD's )

Daarom zou je DNScrypt kunnen gebruiken, die checkt de chain of trust vanaf client naar server, en de MITM zit meestal op de eerste hop.

Als in: als je adversary de eigenaar is van het (cc)TLD dan heb je grotere problemen.

Wil je resolves doen via Tor, dat zou kunnen, maar dan zou ik wel om de zoveel tijd een nieuwe identity nemen (wat je bij services voor Tor doorgaans wilt voorkomen). Je gaat in het geval van Tor extra latency hebben. M.i. kun je dan net zo goed volledig Tor (Browser) gebruiken.

Nog even het vermelden waard: https://dns0.eu is een volledig Europees initiatief. Quad9 is van origine opgezet door IBM, maar is Zwitsers.

[jurroen]

Jerie schreef op donderdag 6 maart 2025 @ 01:41:
[...]
Nou, dat veilig moet je zorgvuldig beargumenteren. Ik denk dat je hier doelde op anoniem (wat een zeer hoge lat is, net als 'veilig').

Je reageert op een post van drie jaar geleden.

Nog even het vermelden waard: https://dns0.eu is een volledig Europees initiatief. Quad9 is van origine opgezet door IBM, maar is Zwitsers.

Voor mijn (adblocking) DNS servers gebruik ik zelf ook wat Europese upstreams middels DoT: Njalla, LibreDNS, Digitale Gesellschaft en Applied Privacy.

[CAPSLOCK2000]

Jerie schreef op donderdag 6 maart 2025 @ 01:41:
(Dikgedrukt door mij.)

Nou, dat veilig moet je zorgvuldig beargumenteren. Ik denk dat je hier doelde op anoniem (wat een zeer hoge lat is, net als 'veilig').

Fair, want ik bedoelde meer dan alleen anonimiteit, voor zover ik dat drie jaar later nog weet. Het zou zelfs kunnen dat ik het met opzet een beetje in het midden heb gelaten.

Mijn punt ging in ieder geval niet over DNS an sich maar over HTTPS en IP. HTTPS lekt hostnames (via SNI). en IP-adressen zijn vrij makkelijk naar één persoon/aansluiting terug te voeren. Je kan dus niet alleen DNS beveiligen maar moet groter kijken naar al je verkeer.

DNS over TLS heeft de chain of trust van root servers naar (cc)TLD naar domain naar subdomain.

Ik weet niet of ik je goed begrijp. De argumenten die je geeft associeer ik met (tegen) DNSSEC maar dan wel een beetje verouderd. De meeste van je punten heb ik al jaren niet meer gehoord omdat ze in praktijk niet spelen. Misschien begrijp ik je helemaal verkeerd en bedoel je echt DNS-over-TLS. Ik ga even uit van DNSSEC.

Het klopt dat er meer storingen zijn met DNSSEC dan zonder maar dat is inherent aan beveiligen. Iedere beveiliging is een extra kans op problemen. In praktijk is het geen probleem.
Ook zonder DNSSEC vallen dingen uit. DNSSEC maakt het zeker ingewikkelder en fragieler maar in praktijk is het goed te behappen.

Laat ik tussen neus en lippen door nog even vermelden dat DNSSEC niks te maken heeft met anonimiteit of privacy maar alleen gaat over authenticatie van de ontvangen info.

Het zorgt voor veel overhead en single point of failure. Wat je ook terugziet in downtime sinds het uit is gerold (inclusief downtime op volledige (cc)TLD's )

Maar net zoals ik duidelijk moet zijn over het woord veilig moet jij duidelijk zijn over het woord "veel". Hoeveel downtime en overhead is er en hoeveel is te veel? Dat zeg ik niet om flauw te doen maar omdat ik denk dat impact overschat.
Single-point-of-failures zie ik niet, waar zitten die?

Daarom zou je DNScrypt kunnen gebruiken, die checkt de chain of trust vanaf client naar server, en de MITM zit meestal op de eerste hop. Als in: als je adversary de eigenaar is van het (cc)TLD dan heb je grotere problemen.

Eerlijk gezegd heb ik moeite om de meerwaarde van (het oorpsronkelijke) DNSCrypt nog te zien nu dns-over-tls en dns-over-https genormaliseerd zijn. Dat bestond nog niet doen dnscrypt werd bedacht en kon pas succesvol worden nadat Letsencrypt de hele wereld van gratis ssl-certificaten kon voorzien.
Ik zie wel nog meerwaarde in de geanonimseerde variant van DNSCrypt.

DNScrypt helpt volgens mij niet tegen gerommel op de resolver zelf en beschermt het verkeer vanaf de resolver. Als de beheerder van de resolver kwaad in de zin heeft dan helpt dnscrypt daar volgens mij niet tegen. DNSSEC wel, in die zin dat je in ieder geval weet dát er gerommeld is.

Excuses als je het niet over DNSSEC had maar dan kan ik je niet volgen. Eerlijk gezegd is mijn kennis van dnscrypt wat roestig dus misschien ligt het aan mij.

Wil je resolves doen via Tor, dat zou kunnen, maar dan zou ik wel om de zoveel tijd een nieuwe identity nemen

Voor de zekerheid, ik had het over anonizemed-dnscrypt, niet over TOR, ook al zijn er wat conceptuele overeenkomsten.

[ Voor 9% gewijzigd door CAPSLOCK2000 op 06-03-2025 13:11 ]

[Kabouterplop01]

Gebruiken jullie als tweakers ook blocklists voor zgn CNAME trackers?
een cname tracker is een dienst wat een commercieel bedrijf gebruikt om (o.a.) je surfgedrag in kaart te brengen.
Fictief: Je browst naar een webpage en daar zie je in je DNS log, -moet je zelf je recursive resolvertje draaien, een berg van die reclame en andere secondary rommel dns requests voorbij komen.
www.tweakers.net
tracker.tweakers.net <<<< deze heeft een ip adres die niets met het tweakers netwerk te maken heeft en heeft alleen cname verwijzing, van bijvoorbeeld trafficmanager.reclamevanprivacyschendernummer1.com

Hier staat nog wat meer info (en een lijst die je zo in je masjien kunt zetten: https://github.com/AdguardTeam/cname-trackers)

Overigens, hoe check je dat met DOT/DOH? Of gebruiken jullie dat alleen vanaf je eigen resolvertje richting de in TS genoemde diensten?

Probeer je anoniem te zijn is er nog een donkere kant.

[ThinkPad]

@Kabouterplop01 Die zit al in de ‘OISD Big’ list zie ik, dat is de enige lijst (want zelden false positives) die ik gebruik in Adguard Home: https://oisd.nl/includedlists/big
Ik zie soms mensen met Adguard / Pi-hole die elke mogelijke filterlijst gebruiken, dat zorgt er naar mijn mening alleen maar voor dat er dingen stuk gaan (websites/apps die niet goed laden).

Adguard stuurt requests naar m’n OPNsense router, daar heb ik een aantal Europese(!) DNS ingesteld die via DoT bevraagd worden: https://european-alternatives.eu/category/public-dns

[ Voor 26% gewijzigd door ThinkPad op 16-03-2025 13:26 ]

[Kabouterplop01]

Goed punt, dubbel op hoeft niet. Ik zal eens nakijken hoe dit in mn pfsense gebeurt. En welke lijsten ik er in heb zitten. Ik gebruik geen adguard nl.
thnx!