DNS-Leak Tests, was passiert da genau?

[Bob.Dig]

Tests wie z.B. von dnsleaktest.com können anzeigen, wenn der DNS-Server von einer anderen IP aufgerufen wurde als die eigentlichen Site, das ist zumindest meine Interpretation.

Allerdings sollte doch eigentlich DNS auch gecached sein können, sodass Sitebetreiber im Allgemeinen diese Rückschlüsse nicht unbedingt ziehen können sollten.

D.h. wie realistisch ist dieses Szenario in der Praxis.

Nachtrag: Mir geht es nur darum, wie diese Test-Sites funktionieren und nicht darum, dass ich DNS an den ISP leake. etc.

 

[Harry Bo]

https://www.wieistmeineip.de/

Dort wirst Du ähnliche Informationen finden können.

 

[xexex]

Tests wie z.B. von dnsleaktest.com können anzeigen, wenn der DNS-Server von einer anderen IP aufgerufen wurde als die eigentlichen Site, das ist zumindest meine Interpretation.

Deine Interpretation ist falsch, was damit gemeint ist, wird aber direkt auf der von dir verlinkten Seite erklärt.
https://dnsleaktest.com/what-is-a-dns-leak.html

sodass Sitebetreiber im Allgemeinen diese Rückschlüsse nicht unbedingt ziehen können sollten.

Um Sitebetreiber geht es bei diesem Thema gar nicht.

 

[Bob.Dig]

@xexex Mir geht es nur darum, wie diese Test-Sites funktionieren. Alles andere ist hier Off-Topic.

 

[xexex]

Mir geht es nur darum, wie diese Test-Sites funktionieren.

Es wird eine rekursive DNS Abfrage gestartet und es wird dir angezeigt welcher DNS Server drauf geantwortet hat.

Mit eingeschaltetem VPN sollte dort nicht dein Provider auftauchen.

 

[Bob.Dig]

@xexex Das mag bei dir so sein, bei mir z.B. steht dort nur meine öffentliche IP-Adresse und keine DNS-Server, wenn ich die oben erwähnte Site nutze.

 

[Helge01]

Hi Bob.dig Im Normalfall sieht das so aus wie bei xexex. Es wird ein Reverse DNS Lookup auf die DNS Server IP Adresse gemacht und damit sieht man den DNS Server des jeweiligen Anbieters. Bei dir wird wie bei mir nur die öffentliche IP Adresse angezeigt, da du vermutlich auch den eigenen DNS Resolver von der pfSense nutzt. Damit macht deine pfSense die DNS Auflösung und kein anderer DNS Server.

 

[Bob.Dig]

Es wird ein Reverse DNS Lookup auf die DNS Server IP Adresse gemacht und damit sieht man den DNS Server des jeweiligen Anbieters.

Ok, aber wie kommen die nun dazu, das war ja meine eigentliche Frage, brauche mehr Hintergründe.

Vielleicht kann mal wer die Schritte aufzählen, was die Site genau macht.

Die Site selber wird von mir mittels VPN/Proxy angesurft, dennoch wird meine öffentliche IP angezeigt. Ich weiß auch, was ich dagegen tun kann, aber mich interessiert halt, wie das genau abläuft und wenn ich das weiß, kann ich besser beurteilen, ob es mich juckt.

 

[Helge01]

Ganz einfach, du baust einen VPN Tunnel auf und machst darüber eine DNS Abfrage. Im Normalfall wird dann irgend ein DNS Resolver im Internet abgefragt und dieser wird dir auf der Seite mit seinem Namen aufgelöst angezeigt. Bei dir sitzt der abgefragte DNS Resolver aber zu Hause im Router und damit sehen die deine öffentliche IP Adresse, da von dort aus die Anfrage stammt. Dein eigener abgefragter DNS Resolver hat eben deine öffentliche IP Adresse. Wenn du z.B. den Resolver öffentlich machst und ich diesen bei mir eintrage, dann erscheint bei diesem Test auch deine öffentliche IP Adresse von deinem Resolver.

 

[Sun_set_1]

Wenn ich das Schaubild und die Erklärung richtig deute, feuert dein Client DNS-Anfragen direkt an den DNS- Server. Nicht via des VPN Netzwerkes. Daher taucht im Umkehrschluss bei der Rückwärtsabfrage deine IP auf.

Jetzt könnte man per Script diese IP Adresse mit der des eigentlichen Seitenaufrufes (VPN IP) verknüpfen und dich anhand weiterer Identifier (Cookies, User bzw Clickverhalten) weiter identifizieren und darauf basierend dann trotz VPN durchgehend tracken.

Und ja, das können und machen Tools wie Google Analytics, Econda und wie sie alle heißen.

Lösung müsste sein die IP des VPN-DNS direkt in den Netzwerkadapter einzutragen.

 

[Bob.Dig]

Ganz einfach, du baust einen VPN Tunnel auf und machst darüber eine DNS Abfrage. Im Normalfall wird dann irgend ein DNS Resolver im Internet abgefragt und dieser wird dir auf der Seite mit seinem Namen aufgelöst angezeigt. Bei dir sitzt der abgefragte DNS Resolver aber zu Hause im Router und damit sehen die deine öffentliche IP Adresse da von dort die Auflösung stammt. Dein abgefragter DNS Resolver hat eben deine öffentliche IP Adresse.

Ok, aber wie wird diese Verbindung hergestellt, also die Site konstruiert irgendwas, was eine DNS-Abfrage erforderlich macht und trackt dann, wer die "Ressource" abgefragt hat oder denke ich da zu kompliziert. Was macht die Site wann genau. DNS ist mir im Groben bekannt, aber nicht im Speziellen.

Ergänzung (28. April 2020)

Jetzt könnte man per Script diese IP Adresse mit der des eigentlichen Seitenaufrufes (VPN IP) verknüpfen und dich anhand weiterer Identifier (Cookies, User bzw Clickverhalten) weiter identifizieren und darauf basierend dann trotz VPN durchgehend tracken.

Und ja, das können und machen Tools wie Google Analytics, Econda und wie sie alle heißen.

Lösung müsste sein die IP des VPN-DNS direkt in den Netzwerkadapter einzutragen.

Die Lösung kenne ich längst selbst, darum geht es mir nicht, und ich denke nicht, dass die Test-Sites irgendein Klick-Verhalten auswerten, das ginge jetzt zu weit.

Ergänzung (28. April 2020)

Daher taucht im Umkehrschluss bei der Rückwärtsabfrage deine IP auf.

Was für eine Rückwärtsabfrage, kann das mal wer bitte genauer erläutern. Denke, dies ist der Punkt, der mir noch nicht klar ist.

 

[leipziger1979]

Ok, aber wie kommen die nun dazu, das war ja meine eigentliche Frage, brauche mehr Hintergründe.

Vielleicht kann mal wer die Schritte aufzählen, was die Site genau macht.

Wird das damit nicht erklärt:

The DNS leak test works by sending your client a series of domain names to resolve within a specific test domain. Each request is sent from your client to your configured DNS server. Even if you have configured a single DNS server, there may be many other servers that the request is passed on to in order to be resolved (normally to load balance the requests). For example if you configure Google DNS then you will often find 6-10 Google DNS servers which are fullfilling the DNS requests.

 

[Bob.Dig]

Wird das damit nicht erklärt:

Nicht ganz, was passiert denn wohl genau danach.

 

[Helge01]

Rückwärtsabfrage / Reverse Lookup ist die Auflösung der IP Adresse in den Domain Namen. Als genau anders herum wie bei der normalen Auflösung, wo Namen in die IP Adresse aufgelöst wird.

Wie die das genau umgesetzt haben weiß ich nicht. Grundsätzlich wird über die Seite eine DNS Abfrage ausgelöst (z.B. Link in der Webseite) und anschließend übermittelt dein Client (z.B. per PHP oder JavaScript) die DNS Server IP Adresse die er dazu abgefragt hat.

 

[Bob.Dig]

Also die Site bzw. deren DNS-Server trackt einfach die IP-Adressen, die dort anfragen. Anschließend wird noch ein reverse DNS-Lookup gemacht und mit ausgegeben.
Anscheinend hat auch niemand dazwischen das gecached, weil sonst könnten sie die IP gar nicht wissen, korrekt?

So habe ich mir das schon gedacht. Letztlich frage ich mich folgendes, wie häufig dürfte sowas sonst noch vorkommen. Würdet ihr es für möglich halten, dass z.B. google so etwas auch macht, Stichwort: reCAPTCHA oder einfach google. 😁

 

[xexex]

Ok, aber wie wird diese Verbindung hergestellt, also die Site konstruiert irgendwas, was eine DNS-Abfrage erforderlich macht und trackt dann, wer die "Ressource" abgefragt hat oder denke ich da zu kompliziert

Dazu kannst du dir doch den einfachen Quelltext anschauen.

https://developer.matomo.org/api-reference/PHP-Piwik-Tracker

Aber ja, vom Prinzip wird denkst du da schon richtig.

EDIT:
Du mietest eine Domain, sagen wir mal "meintest.de", der DNS Server für die Domain ist unter deiner Verwaltung.
Um einen Test durchzuführen, erstellst du für jeden Testvorgang eigenständige Adressen "test111-1.meintest.de, test111-2.meintest.de".
Daraufhin schaust du welcher Server eine DNS Abfrage zu diesen Adressen an deinen DNS Server geschickt hat.

Hast du nun einen "richtigen" DNS Server in deinem lokalen Netzwerk, wirst du nur deine eigene WAN Adresse sehen. Nutzt du einen "einfachen" Router, wird dieser schlichtweg die Anfrage an den Provider weitergeben und die Abfrage findet dort statt. Nutzt du ein VPN sollte dort der DNS Server vom VPN Anbieter zu sehen sein.

 

[Helge01]

@xexex Das ist der Script für Matomo (früher Piwik). Das ist ein Webanalytik-Werkzeug wie Google Analytics, wo Besucher auf der Webseite getrackt werden, um ihr Verhalten zu analysieren. Das wird vermutlich nicht für den DNS-Leak Test verwendet. Mir ist jedenfalls nichts davon bekannt (betreibe es selbst). Man sieht zwar alles mögliche, aber nicht welcher DNS Server abgefragt wurde.

 

[Bob.Dig]

Danke an alle, ich weiß, war vermutlich nicht ganz einfach zu verstehen, worauf ich hinaus wollte, aber tatsächlich hatte ich auch schon vergessen, was der Output bei einem normalen Setup ist, von daher waren wirklich fast alle Beiträge hilfreich. 😉

Wer jetzt noch möchte:

Letztlich frage ich mich folgendes, wie häufig dürfte sowas sonst noch vorkommen. Würdet ihr es für möglich halten, dass z.B. google so etwas auch macht, Stichwort: reCAPTCHA oder einfach google. 😁

Also dass das DNS mit beim Tracking einbezogen wird.

 

[xexex]

Anscheinend hat auch niemand dazwischen das gecached, weil sonst könnten sie die IP gar nicht wissen, korrekt?

Für diesen Vorgang werden jedes mal neue Adressen erstellt, alternativ könnte man eine niedrige TTL einsetzen, aber TTL werten einige DNS Server gar nicht aus und setzen stattdessen eine eigene.

Ergänzung (28. April 2020)

Wer jetzt noch möchte:

Was glaubst du wieso Google eigene DNS Server anbietet und wozu Google sie nutzt? Was glaubst du wieso Chrome die Google DNS Server benutzt, egal welche Server in deinem System eigenstellt sind?

 

[Bob.Dig]

Was glaubst du wieso Google eigene DNS Server anbietet und wozu Google sie nutzt? Was glaubst du wieso Chrome die Google DNS Server benutzt, egal welche Server in deinem System eigenstellt sind?

Ok, dass DNS ausgewertet wird, ist mir klar. Ich meine es auf diesen sehr speziellen Sachverhalt beschränkt. Ich merke aber auch, dass es so wie bei mir halt auch wirklich nur ist, wenn man einen eigenen Resolver nutzt. Also ist die Chance doch eher gering, dass gerade eine solche Funktionalität in freier Wildbahn ebenfalls genutzt wird.

Ich muss mir halt überlegen, ob ich alle DNS-Anfragen über das VPN rausgehen lasse oder normal über WAN. Abgefragt werden bei mir eh die "DNS-Root-Server" und nicht ISP, VPN oder google, soweit ich das verstanden habe. 😉