Apple en Cloudflare maken nieuw privacyvriendelijk internetprotocol

Apple en Cloudflare hebben een nieuw internetprotocol ontwikkeld wat de privacy van gebruikers beter moet beschermen. Het gaat om Oblivious DNS-over-HTTPS (ODoH), wat gebaseerd is op eerder werk van Princeton-wetenschappers. Het nieuwe protocol koppelt DNS queries los van de internetgebruiker.

Eveline MeijerRedacteurMeer van deze auteur

Als een internetgebruiker een website wil bezoeken, wordt er een verzoek verstuurd naar een DNS resolver. Deze resolver zet het ingevulde webadres om in een IP-adres, waarmee machines kunnen opzoeken waar een webpagina op het internet staat. Deze DNS-verzoeken worden echter nog als plain text over het internet verstuurd, waardoor de internetprovider - en eventueel een kwaadwillende - kan zien welke websites er bezocht worden.

Om dat te voorkomen wordt al flink ingezet op DNS-over-HTTPS (DoH), waarmee de verzoeken versleuteld worden. Daardoor is het moeilijker voor aanvallers om DNS-verzoeken over te nemen en slachtoffers naar malafide websites om te leiden. Maar DNS resolvers zien nog steeds wel welke websites een gebruiker bezoekt.

ODoH beschermt verder

De nieuwe oplossing van Apple en Cloudflare moet daar een einde aan brengen. Het nieuwe ODoH scheidt namelijk de kennis over de inhoud van het verzoek en degene die het verzoek doet, schrijft TechCrunch. ODoH voegt daarvoor een laag encryptie toe aan het verzoek, en stuurt deze door een proxyserver. De proxyserver dient als een extra beschermlaag, waarmee voorkomen wordt dat de resolver ziet wie het verzoek stuurt. Omdat het verzoek zelf versleuteld is, kan de proxy niet zien wat er in het verzoek zit. De proxy weet dus alleen wie het verzoek doet en de DNS resolver weet alleen om welke website er gevraagd wordt.

Nick Sullivan, het onderzoekshoofd bij Cloudflare, stelt dat dit nieuwe protocol de laadtijden nauwelijks verder vertraagd. De nieuwe laadtijden zijn namelijk vrijwel hetzelfde als wanneer alleen DoH ingezet wordt.

Proxy-partners vereist

Om te zorgen dat ODoH goed werkt, mogen de gebruikte proxy en de DNS resolver echter nooit in het beheer van dezelfde partij zijn. Anders wordt de "kennis niet meer gescheiden", aldus Sullivan. Om het protocol te gebruiken, zijn dus aanbieders van proxies nodig. Volgens Sullivan zijn die er al wel: een aantal partnerorganisaties draaien al proxies. Dat betekent dat zogeheten early adopters de technologie al kunnen gebruiken via de bestaande 1.1.1.1 DNS resolver van Cloudflare.

De meeste gebruikers moeten echter wachten tot ODoH ingebouwd wordt in browsers en besturingssystemen. Voordat dat gebeurt moet de Internet Engineering Task Force ODoH nog als standaard aanwijzen, waar maanden of zelfs jaren overheen kunnen gaan.