Wegen ein paar Millisekunden: Gefahr durch DNS-Prefetching

Im Wettlauf um eingesparte Millisekunden beim Seitenaufbau nutzen viele Browser das sogenannte DNS-Prefetching. Dabei durchsuchen die Browser die aktuell angezeigte Webseite nach Links und fragen die IP-Adresse schon einmal „auf Verdacht“ ab.

Falls der User auf einen Link klickt, befindet sich die IP-Adresse bereits im DNS-Cache. So lässt sich der Seitenaufbau um etwa 250 Millisekunden beschleunigen. In Einzelfällen erspart man sich eine Wartezeit von über einer Sekunde.

Ein ZDNet-Praxistest mit Auswertung der DNS-Prefetching-Statistik von Google Chrome ergibt jedoch, dass die eingesparte Zeit gering ist. Oft befinden sich die IP-Adressen der angeklickten Seiten ohnehin im Cache. Demgegenüber steht die Tatsache, dass zahlreiche sinnlose DNS-Abfragen durchgeführt werden, die den Traffic und die Belastung der Server erhöhen. Außerdem müssen sinnvolle Einträge im lokalen Cache und auf dem eigenen DNS-Server den nutzlosen weichen.

Zudem ist DNS-Prefetching ein Risiko für die Privatsphäre. Wird der Logfile eines DNS-Servers ausgewertet, so hat es den Anschein, als ob man bestimmte möglicherweise illegale Webseiten besucht hat, deren DNS-Name und IP-Adresse durch eine an sich harmlose Google-Suche im Cache des Servers landen.

Forscher der University of North Carolina haben außerdem einen Proof-of-Concept-Exploit entwickelt, wie sich Google-Abfragen mithilfe von gezielten Abfragen gegen DNS-Server rückverfolgen lassen. Mithilfe der Restcachezeit und den vorgegebenen TTL-Werten der autoritativen DNS-Server können sie Rückschlüsse ziehen, welche Google-Abfragen Benutzer gemacht haben. Admin-Rechte sind dazu nicht erforderlich.

Benutzer von Browsern, die DNS-Prefetching per Default aktivieren, sollten allein aus Gründen des Datenschutzes dieses Feature abschalten. Der ZDNet-Test ergibt, dass die gefühlte Geschwindigkeit dadurch nicht abnimmt. Zudem tut man anderen Benutzern desselben DNS-Servers einen Gefallen, weil verhindert wird, dass sich der Cache mit nutzlosen Einträgen füllt, die niemand benötigt.

Bildergalerie

Die Gefahren durch DNS-Prefetching

zur Bildergalerie