DNS-Tunneling: wenn Datenabfluss wie eine Abfrage aussieht
Jede DNS-Abfrage trägt Text. Ein Tunnel verwandelt diesen Text in einen Abflusskanal, und das Ergebnis sieht nach einer völlig normalen Folge von Fragen aus.
Wie der Tunnel gebaut wird
Die Daten, die aus dem Gerät hinaus sollen, werden kodiert und in Stücke geteilt. Jedes Stück wird zu einem Domainnamen, etwa ein-stueck-daten.tunnel.example. Der Resolver antwortet ganz normal, und die Antwort bringt zurück, was das andere Ende sagen wollte.
Weil die Adresse die Form eines gewöhnlichen Namens hat, sieht alles nach einer normalen Abfrage aus. Der Server, der die Daten empfängt und die Antworten zurückschickt, liegt auf einer gewöhnlichen Domain und löst normal auf. Tunnel funktionieren, weil der DNS Text in beide Richtungen transportieren darf und kaum jemand diesen Weg filtert.
Warum es unbemerkt bleibt
Der Verkehr sieht nach DNS aus, geht an Port 53 oder an die Adresse eines DNS-über-HTTPS-Servers, und niemand schaut hin. Selbst wenn der Inhalt der Abfrage geprüft wird, ist das, was darin steckt, verschlüsselt, und damit bleibt einfaches Mitlesen ausgeschlossen.
Auch die Menge hilft beim Verbergen: Datenabfluss ist meist klein und über Stunden verteilt, vermischt mit dem normalen Verkehr des Geräts. Eine Abfrage alle zehn Sekunden wirkt weit weniger verdächtig als ein großer Upload in einem Moment.
Wie die Fläche kleiner wird
Die bekannten Tunnel-Domains zu sperren deckt einen Teil ab, doch diese Listen ändern sich ständig. Beobachten hilft mehr: Ein Gerät, das viele nicht existierende Namen anfragt oder immer dieselbe Domain mit seltsamen Präfixen abfragt, macht etwas anderes als sonst.
In der Konfiguration zählen zwei Maßnahmen. Den DNS-Abgang so einschränken, dass nur der gewählte Resolver antworten kann, und Abfrageprotokolle pro Gerät führen, damit das Muster sichtbar wird. Es ist die Historie, nicht der Filter, die meist zeigt, wohin der Abfluss ging.