DNSCrypt - DNS verschlüsseln

Eh? Was ist das fuer ein lustiges Hobbyprojektchen der OpenDNS-Scammer - und wie soll es sich auch nur im entferntesten gegen DNSSEC durchsetzen koennen?

DNSCrypt verschluesselt offenbar die Payload (also DNS-Requests und -Responses), wird aber - abseits der an sich mehr als fragwuerdigen OpenDNS-Server - wohl keinerlei Verbreitung finden und damit Bedeutung erlangen koennen. Aber ist eh sinnlos, weil:

Edit: Ah, ich hab mich jetzt durch das Marketinggesuelz auf der OpenDNS-Seite gequaelt. Was fuer ein SCHWACHSINN. Brr. Die reine Verschluesselung der DNS-Daten in-flight mit der Verschluesselung von via TLS geschuetztem Traffic ueber ein Socket zu vergleichen ist schon dreist - die Anzahl an DNS-Requests, die im Durchschnitt so ueber die Leitung gehen, sind lediglich ein geradezu winziger Bruchteil des Gesamttraffics (dank clientseitigem Caching und der Tatsache, dass die meisten Leute heute eh nur noch eine Hand voll TLDs resolven), und eigentlich so gut wie vollkommen irrelevant. Wenn man Angst hat, dass irgendjemand seine DNS-Requests mitliest, sollte man am besten gleich TOR verwenden, um die Gesamtheit des Traffics zu maskieren. Wenn naemlich jemand meinen Traffic mitliest, kann der - auch wenn ich "DNSCrypt" verwende - ohne weiteres korrelieren, dass mein verschluesselter DNS-Request X mit dem nachfolgenden TCP-Connect zu Host Y, Port Z in Zusammenhang steht.

In ihrem FAQ stellen sie klar, dass sie DNSCrypt nicht gegen DNSSEC positionieren, sondern sich die beiden Verfahren ergaenzen. In meinen Augen ist DNSCrypt nur gaenzlich sinnlos, bzw. ein billiger Publicity-Stunt (ich wuerde mich schwer wundern, wenn man nicht ganz aehnliche Wrapper auf freshmeat/sf.net finden kann ) - Begruendung findet sich in meinem ersten Posting.

DNSSEC macht DNS "lediglich" tamper-proof. Das reicht aber.

das problem bei dieser methode ist einfach, dass wenn die payload unverschlüsselt ist und ua. deshalb das ganze wenig bringt für viel aufwand. wenn man die ip adresse des webservers hat, die ja trotzdem im klartext übertragen werden muss, kann ich per reverse-DNS/google wieder auf den genutzten service schließen.
bei größeren seiten ist das überhaupt kein gewinn an privacy, bei kleineren (die aber eher auf https verzichten), wirds wahrscheinlich aufwändiger rückzuverfolgen.

inzwischen auch bei heise angekommen, inkl comment von colo

http://www.heise.de/ix/meldung/DNSC...en-1392786.html

Mal eine Frage: Inwiefern passt es ins Apple Subforum?

Zitat von othan

Die Software gibts vorerst nur für Äpfel

Dabei hab ich noch extra die Website aufgerufen um mich zu vergewissern. *shameonme*