DNS over HTTPS (DoH) ist ein Protokoll zur Durchführung einer DNS-Auflösung über das HTTPS-Protokoll. Das Ziel ist es, die Privatsphäre und Sicherheit der Benutzer zu erhöhen, indem das Abhören und Manipulieren von DNS-Daten durch Man-in-the-Middle-Angriffe verhindert wird.[1] Neben der Verbesserung der Sicherheit sind weitere Ziele von DNS über HTTPS, die Leistung zu verbessern und DNS-basierte Zensurmaßnahmen zu verhindern. DNS over HTTPS wurde am 19. Oktober 2018 als RFC 8484 standardisiert.[2] DoH-Server werden von zahlreichen öffentlichen DNS-Providern angeboten.[3]
Seit März 2018 testen Google und Mozilla Versionen von DNS über HTTPS.[4][5]
Standardmäßig werden DNS-Abfragen unverschlüsselt mit dem User Datagram Protocol übertragen. Für die Implementierung einer Verschlüsselung gibt es aktuell drei Optionen: DNS over HTTPS, DNS over TLS (DoT) und DNSCrypt. DNS over TLS schickt normale DNS-Anfragen über einen TLS-Tunnel, während DNS over HTTPS dafür eine HTTPS-Verbindung aufbaut. Durch Letzteres kann man – falls der DNS-Provider auf Port 443 auch eine Website anbietet – nicht sehen, ob das Paket eine DNS-Anfrage ist. Dafür ist DNS over TLS deutlich schneller. Die dritte Variante, DNSCrypt, bietet ebenfalls Verschlüsselung und Authentifizierung der DNS-Abfragen, basiert aber auf einem eigenen Protokoll, welches bislang nicht als Request for Comments (RFC) zur Standardisierung bei der Internet Engineering Task Force (IETF) vorgeschlagen wurde.[6][7] Eine weitere Option ist in Zukunft das Protokoll DNS over QUIC (DoQ), das gerade standardisiert wird.[8][9]
Der Browser Mozilla Firefox enthält seit Version 60 die Option, DoH zu aktivieren.[10][11] Mozilla stellt in Zusammenarbeit mit Cloudflare einen DoH-Server bereit, der strenge Privatsphäre-Anforderungen erfüllen muss.[12]
Für Chrome gibt es seit Version 78 ebenfalls eine experimentelle Einstellung zur Nutzung von DoH.[13]
Unter Android gab es, anders als für DNS over TLS, bis Juli 2022 keine mitgelieferte Unterstützung für DNS over HTTPS auf Betriebssystemsebene. Diese wurde für Android ab Version 11 nachgereicht.[14]
Die Benutzung von DNS over HTTPS ist per Eingabe in die Standard-Netzwerk-Dialog-Eingabemaske des User-Interfaces der regulären Windows-11-Version möglich. Dabei ist ebenfalls Discovery of Designated Resolvers (DDR) benutzbar und über Konsole konfigurierbar. DDR ist dabei für die automatische Konfiguration von DoH verantwortlich – ähnlich dem DHCP-Standard.[15]
Seit MacOS Ventura und iOS 16 sind DoT sowie DoH mit dem DDR Encrypted Initial Kontakt standardmäßig benutzbar und ohne Konsoleneingriff in MacOS nutzbar.[16]