Microsoft hat kürzlich bekannt gegeben, dass DNS über HTTPS (DoH, verschlüsseltes DNS über HTTPS) jetzt offiziell in Windows Server 2025 verfügbar ist und verschlüsselten Schutz für die DNS-Kommunikation zwischen Clients und Servern bietet. Diese Funktion ist seit Jahren auf Client-Versionen von Windows verfügbar und wird nun endlich auf serverorientierte Versionen des Betriebssystems ausgeweitet.
Microsoft weist darauf hin, dass das Hinzufügen der Verschlüsselungsunterstützung für den DNS-Verkehr erhebliche Verbesserungen der Netzwerksicherheit und -zuverlässigkeit bringen kann. Bisher war die DoH-Funktion nur in der öffentlichen Vorschau verfügbar, und jetzt ist die offizielle Version Teil der Zero-Trust-Architektur geworden, die Microsoft schrittweise in seinem Computer-Ökosystem implementiert. Zero Trust geht davon aus, dass Benutzer und Geräte selbst nicht vertrauenswürdig sind. Daher wird durch die Kapselung des DNS-Verkehrs in einem HTTPS-Kanal, der durch ein TLS-Zertifikat geschützt ist, eine zusätzliche Sicherheitsebene hinzugefügt.
DNS bleibt auch heute noch eine grundlegende Abhängigkeit in fast allen Anwendungen, Diensten und Workloads, und das System, das seit 1985 verwendet wird, überträgt Daten während des Domänennamenauflösungsprozesses immer noch größtenteils im Klartext. Durch die Verschlüsselung des DNS-Zugriffs zwischen Clients und Servern verringert DoH effektiv das Risiko, dass böswillige Dritte den Datenverkehr abhören. Darüber hinaus kann verschlüsselter Datenverkehr dazu beitragen, die Manipulation von DNS-Daten zu verhindern und die wahre Identität des DNS-Servers über den HTTPS/TLS-Mechanismus zu überprüfen.
Die Implementierung von Microsoft folgt dem von der IETF veröffentlichten DNS-over-HTTPS-Standard (RFC 8484), sodass eine zuverlässige Zusammenarbeit mit modernen Clients möglich ist, die derselben Spezifikation folgen. DoH ist auch in der Lage, sich in bestehende Infrastrukturen wie den Windows-DNS-Server-Dienst zu integrieren, sodass herkömmlicher Klartext-DNS-Verkehr bei Bedarf weiterhin parallel zu DoH laufen kann.
Während der Vorschauphase arbeitete Microsoft mit mehreren externen Organisationen zusammen, um das Bereitstellungsverhalten von DoH in realen Umgebungen zu bewerten. Microsoft sagte, man sei inzwischen zuversichtlich, dass diese Funktion Unternehmen erhebliche Sicherheitsverbesserungen bringen könne, ohne die Belastung für Systemadministratoren wesentlich zu erhöhen. Unternehmen können DoH schrittweise in ihrem eigenen Tempo einführen und gleichzeitig ihre bestehende unverschlüsselte DNS-Infrastruktur beibehalten, um das Migrationsrisiko zu verringern.
Derzeit ist DNS über HTTPS für Windows Server 2025-Systeme über das neueste Patch Tuesday-Update verfügbar. Microsoft bietet in der offiziellen Dokumentation detaillierte Anleitungen, um Administratoren bei der Aktivierung und Überprüfung dieser Funktion im Windows Server-DNS-Dienst zu helfen. Anzumerken ist, dass Microsoft auch klar erklärt hat, dass DoH derzeit den zwischen den beiden DNS-Servern ausgetauschten DNS-Verkehr nicht verschlüsselt und dieser Kommunikationspfad vorerst unverschlüsselt bleibt.