secure DNS Anbieter - hat jemand erfahrung damit?

[lordpeng]

hallo leute,

inzwischen gibt es schon mehrere anbieter welche 'sichere' DNS dienste anbieten, hat jemand praktische erfahrung mit 'sicheren' dns anbietern wie http://www.nortondns.com oder http://www.clearclouddns.com/

btw 1. @ providermitarbeiter hier im board gibts einen trend dahingehend, dass auch die DNSsen von hostingprovidern früher oder später diesen service anbieten?
btw 2. das soll keine diskussion über die möglichkeit dass diese anbieter die daten auswerten und verkaufen werden!

[local.host]

Als Diensteanbieter ist das rechtlich bedenklich (Dateneingriff); und auf dann Begehrlichkeiten von Leuten die zB kino.to gesperrt haben wollen will ich gar nicht aufpassen.

zB mit Firefox + Google Safebrowsing + Brain 2.0

[lordpeng]

>Als Diensteanbieter ist das rechtlich bedenklich (Dateneingriff);
stimmt schon, wenn überhaupt dann muss eh der anwender entscheiden können ob er's verwendet oder nicht ...

wenn ich sowas einsetzen wollte, dann lieber von einem für mich halbwegs greifbaren unternehmen als von google symantec oder sonst wen, wo man ned weiss, was mit den daten passiert

ich frag mich grad, wie lange es dauert bis jeder AV software hersteller einen derartigen dienst anbietet, dann kann man sich aussuchen ob man seine daten den amerikanern oder russen verkauft ...

>zB mit Firefox + Google Safebrowsing + Brain 2.0
schön und gut, aber das stand nicht zur debatte, weil dann könnt ma gleich alle möglichkeiten durchkauen die es gibt um sicher im www zu surfen

[strom_alk]

also was ist ein sicherer DNS ?
gibt es eine definition dafür ?
woher kommt die sicherheit ?
von DNS -> Client verschlüsselt ? woher weis der 'sicher' DNS das die daten stimmen?

das einzige was es 'schon' gibt sind ein paar zone die den Dns mittels Zertifikat signieren.
damit dies geht muss aber die ganze kette von root - dns ----- Client das unterstützen ..

oder willst du nur einen sauberen DNS ohne Fremdsteuerung ?

dann installier ide lokal einen Bind. den ohne forward einrichten und du bekommst immer die ungefliterten Einträge.
da du hier direkt abfragst root - nic.at - dns der domian - client.

[lordpeng]

>also was ist ein sicherer DNS ?
ein DNS welcher ip adressen von vermeintlich kompormittierten hosts, die auf einer blacklist geführt werden, auf eine sichere seite umleitet

sollte im prinzip als eigene lösung relativ einfach realisierbar sein, aber irgendwoher braucht man halt die blacklists

[strom_alk]

Also der gleiche "blödsinn" wie mit der liste für mails ..
super .. solang du selbst nicht auf der liste bist .. oder deine domains

Naja, wenn es gefällt ..

So mal Ehrlich, ich glaub nicht des dies die ISP anbieten werden.
der eine Kunde will es der andere nicht .. also 2x DNS Server getreiben (sicher kein Problem).

Für den Kunden eher Problematisch, will er mal auf so eine 'Seite' warum auch immer bring den Dummy mal dazu den DNS zu tauschen.
Viel Spass an der Telefonleitung...
Daher ist das Lokal - Installieren von 'Sicherheitsoftware' sicher die bessere Lösung.

[lordpeng]

>Also der gleiche "blödsinn" wie mit der liste für mails ..
>super .. solang du selbst nicht auf der liste bist .. oder deine domains
was hast gegen DNS blacklists für mailserver? wennst auf eine solche liste kommst dann hat das in 95 % aller fälle einen grund - funktioniert auf zig-tausenden mailservern weltweit seit vielen jahren tadellos ...

>der eine Kunde will es der andere nicht .. also 2x DNS Server getreiben (sicher kein Problem).
naja, manche verwenden auch einen proxy und andere nicht ...

[FritzS]

Für den Kunden eher Problematisch, will er mal auf so eine 'Seite' warum auch immer bring den Dummy mal dazu den DNS zu tauschen.
Viel Spass an der Telefonleitung...
Daher ist das Lokal - Installieren von 'Sicherheitsoftware' sicher die bessere Lösung.

Das Optimum wäre eine eigene kleine Appliance (zw. Modem und LAN) die den Traffic scannt und auch vor bedenklichen Seiten warnt.

Ich hatte mal eine zeitlang eine ZyWALL5 laufen die das alles beherrschte - AFAIK gibt es dazu keine Security Pattern Updates mehr.

Lustig war mal als die MS Windows Update Site blockiert wurde ... ich wusste natürlich welches Filter zu ändern war.

[lordpeng]

>Das Optimum wäre eine eigene kleine Appliance (zw. Modem und LAN) die den Traffic scannt und auch vor bedenklichen Seiten warnt

nur sind derartige dienste je nach appliance bzw. deren preisklasse zum teil teuer bis unverschämt teuer - da wär der umweg über einen DNS service sicher nicht schlecht - die nachteile solcher dienste via DNS sind IMHO dieselben wie man auch bei content-filter systemen auf abo-basis hat, nur ist die technik halt a bissl a andere - d.h. für leute die wissen worauf sie sich einlassen, durchaus sinnvoll ...

[FritzS]

>Das Optimum wäre eine eigene kleine Appliance (zw. Modem und LAN) die den Traffic scannt und auch vor bedenklichen Seiten warnt

nur sind derartige dienste je nach appliance bzw. deren preisklasse zum teil teuer bis unverschämt teuer - da wär der umweg über einen DNS service sicher nicht schlecht - die nachteile solcher dienste via DNS sind IMHO dieselben wie man auch bei content-filter systemen auf abo-basis hat, nur ist die technik halt a bissl a andere - d.h. für leute die wissen worauf sie sich einlassen, durchaus sinnvoll ...

Bei Google Safe Browsing, AdBlock Plus, NoScript, und Ähnliches, muss man auch den Betreiber/Hersteller vertrauen

Google Safe Browsing ist in allen meinen drei verwendeten Browsern aktiv - Safari, Firefox, Google Chrome

OT - Google Chrome (aktuelle Version) - derzeit auf meinen MBP gefühlt der Schnellste.
Firefox 4.0 Beta 8 habe ich noch nicht als default Browser laufen lassen, kommt mir bei einzelnen Aufrufen auch sehr schnell vor.
Safari (aktuell, 64 Bit) bremst bei meinen vielen offenen Tabs am stärksten obwohl ClicktoFlash installiert ist.

[lordpeng]

>Bei Google Safe Browsing, AdBlock Plus, NoScript, und Ähnliches, muss man auch den Betreiber/Hersteller vertrauen
das is eh sowieso immer der fall, weil bei richtig teuren content-filter systemen namhafter hersteller isses nix anderes - selbiges gilt im prinzip auch für AV software, aber das ist eine grundsatzdiskussion die ich hier nicht führen will

wenn man derartige dienste verwendet bzw. verwenden will/muss dann ist man halt der willkür eines oder mehrerer anbieter ausgeliefert - alles hat seine vor- und nachteile ...

wie schon erwähnt wäre es ein leichtes ein solches service selber zu betreiben bzw. anzubieten ... gepflegt muss es halt werden ... schön wärs natürlich, wenn sich hierfür freie anbieter finden, wie man's halt von blacklists für mailserver kennt (was ja ned so abwegig scheint, weil die technik nicht viel anders ist)

schon oft hab ich mir gedacht, dass es unter umständen sinnvoll wäre die infos diverser blacklist-anbieter ins regelwerk einer firewall einzuarbeiten und gelistete IP's ins regelwerk aufzunehmen, wenn dahinter irgendein öffentlich zugängliches service läuft ...

würd sich mit ein bissl scripting vermutlich mit angemessenem aufwand auf einer linux-basis oder was gleichwertigem eh umsetzen lassen ...

[FritzS]

wie schon erwähnt wäre es ein leichtes ein solches service selber zu betreiben bzw. anzubieten ... gepflegt muss es halt werden ... schön wärs natürlich, wenn sich hierfür freie anbieter finden, wie man's halt von blacklists für mailserver kennt (was ja ned so abwegig scheint, weil die technik nicht viel anders ist)

schon oft hab ich mir gedacht, dass es unter umständen sinnvoll wäre die infos diverser blacklist-anbieter ins regelwerk einer firewall einzuarbeiten und gelistete IP's ins regelwerk aufzunehmen, wenn dahinter irgendein öffentlich zugängliches service läuft ...

würd sich mit ein bissl scripting vermutlich mit angemessenem aufwand auf einer linux-basis oder was gleichwertigem eh umsetzen lassen ...

Eine Open Source Lösung die von einer breiten Community gepflegt wird und auf einigen der gängigen und nicht überteuernden Routern/FW (kein »ausgewachsener« PC - schon wegen der Energieersparnis) läuft wäre ein Optimum.
Ich bekam die ZyWALL 5 (mitsamt Zusatzprozessorkarte) als Betatester und die Abos dazu. Leider gibt es für die ZyWALL5 keine Updates der Security Pattern und des Virenscanners mehr. Eine breitgestreute Community ist mehr Garantie das man in 4 Jahren auch noch Updates erhält als eine Firma, die natürlich auch ihre neueste HW verkaufen will.

[Apfel und Birne]

Was wichtig ist sind die Antwortzeiten des DNS-Servers - diese sind aber SEHR selten ein Problem. Oft liegt das Problem langsamer Antwortzeiten eher an der Internetverbindung selber als am DNS. Somit kannst du quasie jeden DNS / DynDNS Anbieter verwenden.
Vorraussetzung ist das dein NAS die aktuelle ip an den DynDNS Dienst schicken kann. Dafür gibt es in so mancher Firmware die Möglichkeit - oder die Anbieter bieten Programme an die du z.B. dann auf deinem PC laufen lassen müsstest.

Hier aber eine Liste

[lordpeng]

@apfel und birne, du hast aber schon verstanden um was es im thread geht oder?