Mozilla stellt den Domain Name System-Lookup im Firefox auf verschlüsselte Anfragen um. Nach monatelangen Tests verkündete Mozilla am 6. September 2019, DNS over HTTPS (DoH) standardmäßig für Firefox-Nutzer in den USA zu aktivieren. Der Rollout soll ab Ende September starten und schrittweise ausgeweitet werden.
DoH kapselt DNS-Anfragen in HTTPS-Verbindungen und verlagert sie vom beheimateten Internetprovider zu einem vertrauenswürdigen Resolver. Ohne Verschlüsselung lassen sich unbeobachtete DNS-Anfragen auf dem Übertragungsweg mitlesen oder manipulieren; Browser- und Spielplattform-Downloads laufen regelmäßig über DNS-Auflösungen, die der Nutzer nicht kontrolliert. Mozilla nutzt als voreingestellten Resolver Cloudflare mit dem Dienst 1.1.1.1. Der Anbieter nimmt am Trusted-Resolver-Programm der Foundation teil. Das Protokoll steht seit Firefox 62 zur Verfügung, war bislang aber nur manuell einschaltbar.
Einen Zwang sieht der Plan nicht vor: Wer DoH über die standardmäßige Aktivierung erhält, wird beim Start von Firefox informiert und kann widersprechen. Außerhalb der USA lässt sich DoH in den Network Settings manuell einschalten. Für Europa erklärte Mozilla, das Unternehmen prüfe DoH-Partner für eine spätere Aktivierung.
Rücksicht auf Firmennetze und Jugendschutz
Der entscheidende Punkt für IT-Administratoren ist der Fallback-Modus: Firefox kehrt zu den DNS-Voreinstellungen des Betriebssystems zurück, wenn Netzwerkadministratoren über Signalkappen Beeinträchtigungen etwa der Inhaldefilterung melden, wenn Unternehmensrichtlinien DoH abschalten oder wenn Split-Horizon-Konfigurationen zu Auflösungsfehlern führen. Eine eigene Experimentgruppe von mehr als 70.000 Nutzern hatte das Protokoll bereits vor der Ankündigung selbst aktiviert. In der aktuellen Experimentauswertung nutzten 4,3 Prozent der US-Nutzer OpenDNS-Jugendschutz oder Googles Safe-Search; 9,2 Prozent lösten eine der Split-Horizon-Heuristiken aus. Für netzseitigen Jugendschutz will Mozilla mit Betreibern eine Canary-Domain auf Blocklisten vereinbaren: Ist sie gesperrt, deaktiviert Firefox DoH automatisch.
Grundlage ist die im Oktober 2018 von der IETF verabschiedete Spezifikation RFC 8484. Das Protokoll wird inzwischen von mehreren Browser-Herstellern verfolgt. Zur Verfügung steht DoH bislang in der Desktop-Version von Firefox, nicht in mobilen Ausgaben. Mozilla hatte 2018 mit Firefox Reality auch einen eigenen Browser für Virtual-Reality-Headsets vorgestellt; der geplante Standardrollout betrifft zuerst den klassischen Desktop-Firefox.