DNS DoT (TLS / HTTPS)

Dann erkläre mir bitte in wenigen Worten wo Du das Problem mit der aktuellen und nach wie vor weit verbreiteten (lies: normalen, aktuellen, ...) DNS-Implementation - und für die meisten ISPs - das sind jeweils die welche die jeweiligen Anschlüsse zu uns nach Hause bringen - und nicht irgendwelche Dritten.

Wo das Risiko real besteht, dass Deine DNA-Abfragen unterwegs verändert werden, sagen wir zum Beispiel meine.postbank.de eine die eine falsche IP-Adresse untergejubelt wird wo man versucht Deine Login-Daten zu stehlen, so ist das Problem so weit real. Nur sind die Möglichkeiten zwischen Deinem Router, den DSL- oder Fiber, den wenigen Geräten im Datenpfad zu den IP-Adresse der DNS Server Deines ISPs ziemlich überschaubar.  

Warum sollen wir den Aufwand betreiben und DuX zu einem Anbieter irgendwo in der Cloud zu senden, nur dass dieser sich dann bei den normalen DNS-Ressourcen anhängt, vielleicht mit DNSSEC, vielleicht aber auch ganz normales unverschlüsseltes DNS.

Wenn Du unbedingt etwas implementieren willst, bitte. Die Risikoabwägung musst Du für Dich selbst vornehmen - ich kann und will diese nicht übernehmen. Das Risiko, dass etwas auf Deinen Netzwerk- und Endgeräten passiert (Malware usw.) ist viel höher als dass Deine DNS-Abfragen auf der verhältnismässig kurzen Strecke zu Deinem ISP abgefangen und verändert werden.

Es gibt zu diesem Thema viele kontroverse Debatten. Und ja, ich führe solche Gespräche und Risikoabwägungen mit meinen Kunden (Finanz, Staat, Militär, Hersteller von Business-Geräten) immer wieder. Hier bin ich bin einzig als Netgear-Kunde, nur ein netter Mensch, der hie und da gerne hilft, oder den Lesern versucht Denkanstösse zu geben. Da gibt es nichts Unfreundliches dabei sich zu erlauben Fragen zu stellen. Müssen sich auch meine Kunden ebenso anhören.

Netgear hat gute Gründe warum weder DoH noch DoT auf den Routern angeboten werden. Primär geht es hier wohl im Support, und Zuverlässigkeit wie auch Einfachheit der Konfiguration für den Kunden. Und da scheitern beide DoX Varianten kläglich.

---- für unsere Englisch-lesenden-Freunde ---

Then please explain to us in a few words where you see a problem with the current and still widespread (read: normal, current, ...) DNS implementation - and for most ISPs - these are the ones which the respective connections to bring our home - and not some third party.

Where there is a real risk that your DNA queries will be changed on the way, let's say, for example, mein.postbank.de one that is hyped a wrong IP address where someone tries to steal your login data, the problem is so far real . But the possibilities between your router, the DSL or fiber, the few devices in the data path to the IP address of the DNS server of your ISP are fairly manageable.

Why should we go to the trouble of sending DuX to a provider somewhere in the cloud, only that this provider then attaches itself to the normal DNS resources, maybe with DNSSEC, but maybe also completely normal unencrypted DNS.

If you really want to implement something, please go ahead. You have to weigh up the risks for yourself - I cannot and will not do this. The risk that something happens on your network and end devices (malware, etc.) is much higher than that your DNS queries are intercepted and changed on the relatively short route to your ISP.

There are many controversial debates on the subject. And yes, I keep having such discussions and risk assessments with my customers (finance, government, military, manufacturers of business devices). I'm the only one here as a Netgear customer, just a nice person who likes to help here and there, or tries to give readers food for thought. There's nothing unfriendly about allowing yourself to ask questions. My customers have to listen to it too.

Netgear has good reasons why neither DoH nor DoT are offered on the routers. Primarily it's about support, reliability, as well as simplicity of configuration for the customer. And here both DoX variants fail miserably.

PS: And yes, I don't care much of browser makers like Mozilla have it (that's not the full truth, we have to push out policies that this s**t is relaibly disabled),  Apple or Microsoft does offer certain simple DoX resolvers (again, a lot of effort to prohibit this on business networks!).

Grüsse aus der Schweiz

-Kurt