Das Internet-Adressbuch bedroht\\ unsere Privatsph�re
Dominik Herrmann
Dieser Beitrag fasst ausgew�hlte Ergebnisse der Dissertation \glqq Beobachtungsm�glichkeiten im Domain Name System: Angriffe auf die Privatsph�re und Techniken zum Selbstdatenschutz\grqq\ \cite{Herrmann-diss zusammen. Die Dissertation liefert neue Antworten auf die Fragen \glqq Wer kann uns im Internet �berwachen?\grqq\ und \glqq Wie sch�tzen wir uns davor?\grqq. Die Arbeit befasst sich mit dem Domain Name System (DNS), dem Adressbuch des Internets. Es wird gezeigt, dass es im DNS bislang vernachl�ssigte �berwachungsm�glichkeiten gibt. Insbesondere wird ein Verfahren zum verhaltensbasierten Tracking vorgestellt, mit dem die Aktivit�ten von Internetnutzern unbemerkt �ber l�ngere Zeitr�ume verfolgt werden k�nnen. Einerseits wird dadurch die Privatsph�re vieler Internetnutzer bedroht, andererseits k�nnten daraus neue Werkzeuge f�r die Strafverfolgung entstehen. Weiterhin werden neue Datenschutz-Techniken vorgeschlagen, die sicherer und benutzerfreundlicher sind als die bisherigen Ans�tze.
Internet-Adressbuch-bedroht-Privatsphaere-arxiv.tex
\documentclass[a4paper,ngerman]{llncs}
\pdfoutput=1
\usepackage[T1]{fontenc}
\usepackage[latin9]{inputenc}
\pagestyle{plain}
\setcounter{secnumdepth}{2}
\setcounter{tocdepth}{2}
\setlength{\parskip}{\smallskipamount}
\setlength{\parindent}{0pt}
\usepackage{babel}
\usepackage{url}
\usepackage{graphicx}
\usepackage[unicode=true,
 bookmarks=true,bookmarksnumbered=false,bookmarksopen=false,
 breaklinks=true,pdfborder={0 0 0},pdfborderstyle={},backref=false,colorlinks=false]
 {hyperref}
\hypersetup{pdftitle={Das Internet-Adressbuch bedroht unsere Privatsph�re},
 pdfauthor={Dominik Herrmann}}

\makeatletter

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%% LyX specific LaTeX commands.
\pdfpageheight\paperheight
\pdfpagewidth\paperwidth


\@ifundefined{date}{}{\date{}}
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%% User specified LaTeX commands.
\usepackage[protrusion=true,expansion=true]{microtype}

%\newcommand{\versal}[1]{\textscale{0.9}{\textls*[50]{#1}}}

\urlstyle{rm}

\makeatother

\begin{document}

\title{Das Internet-Adressbuch bedroht\\
unsere Privatsph�re}

\author{Dominik Herrmann}

\institute{Universit�t Hamburg, Fachbereich Informatik, Sicherheit in verteilten
Systemen\\
herrmann@informatik.uni-hamburg.de}
\maketitle
\begin{abstract}
Dieser Beitrag fasst ausgew�hlte Ergebnisse der Dissertation \glqq Beobachtungsm�glichkeiten im Domain Name System: Angriffe auf die Privatsph�re und Techniken zum Selbstdatenschutz\grqq\ \cite{Herrmann-diss} zusammen. Die Dissertation liefert neue Antworten auf die Fragen \glqq Wer kann uns im Internet �berwachen?\grqq\ und \glqq Wie sch�tzen wir uns davor?\grqq. Die Arbeit befasst sich mit dem Domain Name System (DNS), dem Adressbuch des Internets. Es wird gezeigt, dass es im DNS bislang vernachl�ssigte �berwachungsm�glichkeiten gibt. Insbesondere wird ein Verfahren zum verhaltensbasierten Tracking vorgestellt, mit dem die Aktivit�ten von Internetnutzern unbemerkt �ber l�ngere Zeitr�ume verfolgt werden k�nnen. Einerseits wird dadurch die Privatsph�re vieler Internetnutzer bedroht, andererseits k�nnten daraus neue Werkzeuge f�r die Strafverfolgung entstehen. Weiterhin werden neue Datenschutz-Techniken vorgeschlagen, die sicherer und benutzerfreundlicher sind als die bisherigen Ans�tze.
\end{abstract}


\section{Einleitung}

Nirgendwo ist unsere Privatsph�re so verletzlich wie im Internet.
Das Domain Name System (DNS) ist ein Internetdienst, den man sich
wie ein gro�es Adressbuch vorstellen kann. Jedes Mal, wenn man eine
Internetseite besucht, schl�gt der Browser den Domainnamen der Seite
(z.\,B. \emph{www.hamburg.de}) im DNS nach. Er ben�tigt n�mlich die
IP-Adresse (derzeit 212.1.41.12), um die Internetseite vom jeweiligen
Webserver abzurufen. Dazu kontaktiert der Browser spezielle DNS"=Server,
sog. \emph{rekursive Nameserver} (s. Abbildung~\ref{fig:Namensaufl}).
�blicherweise stellt jeder Internetanbieter (z.\,B. T-Online) seinen
Kunden einen solchen DNS-Server zur Verf�gung. Inwiefern stellt das
eine Bedrohung f�r die Privatsph�re dar? Der Internetanbieter kann
den Datenverkehr seiner Kunden doch ohnehin vollst�ndig �berwachen;
dass er die DNS-Anfragen seiner Kunden sehen kann, ist also kein Problem.
So wurde bisher argumentiert und genau deswegen wurden die Beobachtungsm�glichkeiten
auf den DNS-Servern bislang weitgehend vernachl�ssigt. 

\begin{figure}[t]
\begin{centering}
\includegraphics[width=0.4\textwidth]{dnsserver}
\par\end{centering}
\caption{\label{fig:Namensaufl}Namensaufl�sung vor dem Aufruf einer Webseite}
\end{figure}


\section{Aktuelle Entwicklungen im Domain Name System}

Die mangelnde Vertraulichkeit der Namensaufl�sung gewinnt allerdings
erheblich an Bedeutung. Dies l�sst sich an drei aktuellen Entwicklungen
festmachen, die im Folgenden erl�utert werden.

Zum einen zeichnet sich ein Trend zur \textbf{Zentralisierung der
Namensaufl�sung} ab. Seit etwa f�nf Jahren bieten auch internationale
Konzerne wie Google, OpenDNS und Symantec kostenlose DNS"=Server
an. Diese Angebote trumpfen mit �berzeugenden Vorz�gen auf, etwa geringer
Verz�gerung und hoher Ausfallsicherheit. Zudem haben sie bereits zur
Erhaltung der Meinungsfreiheit beigetragen. So hat die t�rkische Regierung
im Fr�hling 2014 zwar den Kommunikationsdienst Twitter mittels einer
DNS-Sperre unzug�nglich gemacht. Davon lie�en sich die B�rger jedoch
nicht beirren. Sie hebelten die Sperre aus, indem sie auf den DNS-Server
von Google umstiegen, der �ber die leicht zu merkende IP-Adresse 8.8.8.8
erreichbar ist. Sp�ter gab die Regierung nach und hob die Blockade
wieder auf.

Im Jahr 2016 beantworteten allein die DNS-Server von Google schon
mehr als 13\,\% aller DNS-Anfragen pro Tag \cite{apnic2016}. Auch
in Deutschland erfreuen sie sich zunehmender Beliebtheit. Sie werden
immer wieder von der Presse empfohlen, etwa von Spiegel Online oder
der Fachzeitschrift c\textquoteright t.

Angesichts dessen stellt sich die Frage, welche Informationen die
neuen DNS"=Anbieter �ber ihre Nutzer gewinnen k�nnen, inwiefern die
Nutzer solcher Angebote Nachteile bef�rchten m�ssen, und wie man sich
als Nutzer vor neugierigen Blicken des Betreibers sch�tzen kann. Diese
Fragen werden in der Dissertation beantwortet. Die gewonnen Erkenntnisse
sind zum einen also zun�chst einmal ganz unmittelbar f�r diejenigen
Nutzer von Bedeutung, die nicht mehr den DNS-Server ihres Internetanbieters
verwenden. Dar�ber hinaus profitieren Forscher und Entwickler von
den Ergebnissen der Dissertation, da sie dadurch benutzerfreundlichere
und wirksamere datenschutzfreundliche L�sungen zum Zugriff auf DNS-Server
entwickeln k�nnen.

Zweitens sind wir einer zunehmenden \textbf{�berwachung unseres Verhaltens
durch die Werbewirtschaft} ausgesetzt. Praktisch alle gro�en Webseiten
finanzieren sich durch Werbeanzeigen, die von sogenannten Werbenetzen
vermarktet werden. Werbenetze sind darauf spezialisiert, jedem Besucher
genau die Anzeigen zu pr�sentieren, die zu seinen Interessen passen.
Bisher werden die Nutzer dazu mit einer eindeutigen Tracking"=Nummer
markiert, die in einem \quotedblbase Cookie\textquotedblleft{} im
Browser abgespeichert wird. Inzwischen ziehen einige Werbenetze zur
Wiedererkennung auch weitere Merkmale heran, anhand derer sich ein
Rechner einzigartig identifizieren l�sst, etwa die Liste der installierten
Schriftarten \cite{FifieldE15}. Beide Techniken erlauben es, einen
Nutzer auf seinen Streifz�gen durch das Internet zu verfolgen und
ein entsprechendes Interessenprofil anzulegen. Allerdings funktioniert
diese Form der �berwachung schon heute nicht mehr zuverl�ssig. Den
Browser"=Herstellern ist n�mlich inzwischen daran gelegen, die Privatsph�re
ihrer Nutzer zu sch�tzen. So nehmen einige Browser, etwa der Safari"=Browser,
schon heute keine Tracking"=Cookies mehr an. Werbetreibende reagieren
auf diese Entwicklung, indem sie auf andere Tracking"=Techniken ausweichen. 

Die Dissertation zeigt auf, wie sich Nutzer durch die Auswertung ihrer
DNS"=Anfragen wiedererkennen lassen. Werbenetze k�nnten in Zukunft
also DNS-basierte Tracking-Techniken einsetzen, um die Aktivit�ten
von Nutzern zu verfolgen. Insbesondere das Unternehmen Google ist
hier in einer guten Ausgangsposition, da es nicht nur einen �ffentlichen
DNS"=Server anbietet, sondern auch das derzeit gr��te Werbenetz \quotedblbase Doubleclick\textquotedblleft{}
betreibt.

Hervorzuheben sind hierbei zwei Aspekte. Erstens kann grunds�tzlich
\emph{jedes} Werbenetz die verhaltensbasierte Tracking-Technik einsetzen,
um Nutzer anhand ihres Surfverhaltens zu verfolgen. Zweitens ist verhaltensbasiertes
Tracking f�r Au�enstehende �berhaupt nicht mehr erkennbar. Dadurch
stellt es eine erhebliche Verletzung der informationellen Selbstbestimmung
dar.

Die Ergebnisse der Dissertation betreffen also nicht nur die Nutzer
neuer DNS-Anbieter, sondern uns alle. Sie machen deutlich, wie schwer
es schon heute ist, sich im Internet mit technischen Mitteln vor unerw�nschter
Beobachtung zu sch�tzen. Erschwerend kommt hinzu, dass alle staatlichen
Bestrebungen, die privatwirtschaftliche �berwachung zu regulieren
(vgl. die sog. Cookie-Richtlinie der Europ�ischen Union) und insbesondere
die Sanktionierung von Verst��en gegen die geltenden Datenschutzgesetze
nat�rlich ins Leere laufen, wenn der Einsatz einer Tracking-Technik
�berhaupt nicht nachweisbar ist.

Drittens l�sst sich ein zunehmendes Interesse an der \textbf{Auswertung
von Verkehrsdaten} (\quotedblbase Metadaten\textquotedblleft ) erkennen
\textendash{} nicht nur bei Nachrichtendiensten, sondern auch bei
polizeilichen Ermittlungsbeh�rden. DNS"=Server stellen einen bislang
untersch�tzten, jedoch vielversprechenden Beobachtungspunkt dar. Im
Gegensatz zur Aufzeichnung und Auswertung des gesamten Datenverkehrs,
was der sprichw�rtlichen Suche nach der Nadel im Heuhaufen gleicht,
stellt die Aufzeichnung und Auswertung der DNS"=Anfragen wesentlich
geringere Ressourcenanforderungen. Der Anteil des DNS-Datenverkehrs
am �bertragenen Gesamtvolumen betr�gt nur etwa 0,05\,\%. Aus den
aufgezeichneten DNS"=Anfragen gehen genau die Informationen hervor,
die f�r forensischen Untersuchungen von Interesse sind: die IP"=Adresse
eines Nutzers, der angefragte Domainname und der Zeitpunkt der Anfrage.
Dar�ber hinaus lie�en sich durch Beschlagnahme von DNS"=Protokollen,
die von den Anbietern �blicherweise f�r einige Zeit zur St�rungserkennung
aufbewahrt werden, auch \emph{nachtr�glich} noch Informationen �ber
die Internetaktivit�ten eines Verd�chtigen gewinnen. Zudem k�nnten
sich auch Datensch�tzer mit der forensischen Auswertung der DNS-Anfragen
arrangieren. Anstelle �ber die Einrichtung zus�tzlicher �berwachungsma�nahmen,
etwa einer allgemeinen Vorratsdatenspeicherung, nachzudenken, w�re
es besser, erst einmal die bereits existierenden Informationsquellen
auszusch�pfen. 

Allerdings besteht bei der Auswertung von DNS-Anfragen ein gewisses
Risiko von Fehlinterpretationen. Die Tatsache, dass ein Nutzer einen
Domainnamen aufgel�st hat, muss n�mlich nicht zwangsl�ufig bedeuten,
dass er auch zugeh�rige Webseite abgerufen hat. Bei unsachgem��er
Interpretation k�nnte es also zur Verfolgung unschuldiger Nutzer kommen.
In der Dissertation wird daher nicht nur aufgezeigt, wie bei der Auswertung
vorzugehen ist, sondern auch wie aussagekr�ftig die dabei gewonnen
Informationen sind.

Zusammengefasst besteht die Bedeutung der vorliegenden Dissertation
einerseits darin, auf neue Beobachtungsm�glichkeiten aufmerksam zu
machen, die unsere Privatsph�re im Internet bedrohen, und zum anderen
darin, gestaltungsorientiert Techniken zum Schutz vor unerw�nschter
�berwachung vorzuschlagen.

\section{Was k�nnen DNS-Server �ber ihre Nutzer herausfinden?}

Zun�chst wird in der Dissertation der Frage nachgegangen, inwiefern
ein DNS-Anbieter anhand der aufgel�sten Domains nachvollziehen kann,
welche Webseiten ein Nutzer abruft. Das ist n�mlich gar nicht ohne
weiteres m�glich.

Der Anbieter steht dabei vor zwei Herausforderungen. Erstens kommt
beim DNS"=Server \emph{nur} der Domainname an, also nicht die vollst�ndige
Adresse der besuchten Seite. Bei bestimmten Webseiten, etwa \emph{\url{http://de.wikipedia.org/wiki/Alkoholkrankheit}},
ist allerdings gerade die URL problematisch, wohingegen die Domain
an sich (\emph{de.wikipedia.org}) vergleichsweise unverf�nglich ist.
Zweitens stimmen die abgerufenen Webseiten nicht mit den beobachtbaren
Domains �berein, d.\,h. aus der Beobachtung einer DNS-Anfrage f�r
eine bestimmte Domain (z.\,B. \emph{\url{www.anonyme-alkoholiker.de}})
kann der Anbieter nicht unbedingt schlussfolgern, dass ein Nutzer
auch die zugeh�rige Webseite besucht hat. Beim Abruf einer Webseite
stellt ein Web-Browser n�mlich h�ufig mehr als eine DNS"=Anfrage,
typischerweise werden zwischen zehn und 20 Domains aufgel�st. Diese
zwei Probleme erschweren die Bestimmung der besuchten Webseiten erheblich.

Mit dem in der Dissertation entwickelten \textbf{Website"=Fingerprinting"=Verfahren}
lassen sich diese Probleme allerdings �berwinden. Die durchgef�hrten
Analysen zeigen, dass viele Webseiten ein so charakteristisches DNS-Abrufmuster
erzeugen, dass sich ihr Abruf daran mehr oder weniger zweifelsfrei
erkennen l�sst. Der DNS"=Anbieter k�nnte eine Datenbank anlegen,
in der die Abrufmuster aller f�r ihn interessanten Webseiten enthalten
sind. Um die von einem Nutzer besuchten Webseiten zu bestimmen, m�sste
der Anbieter die Anfragen des Nutzers dann lediglich mit den Abrufmustern
in seiner Datenbank abgleichen. Welche Erfolgsaussichten dieser Ansatz
hat, wurde in der Dissertation genauer untersucht.

So stellte sich heraus, dass Reihenfolge und Zeitabst�nde zwischen
den einzelnen DNS"=Anfragen au�en vor bleiben sollten, um die Robustheit
der Erkennung zu erh�hen. Das Abrufmuster der Webseite \emph{www.margersucht.de}
ist beispielsweise die Menge \{\emph{www.amazon.de}, \emph{www.ess\-frust.de},
\emph{www.essstoerungen-frankfurt.de}, \emph{www.magersucht.de}, \emph{www.telefonseelsorge.de}\};
das Abrufmuster des o.\,g. Wikipedia-Eintrags zu \quotedblbase Alkoholkrankheit\textquotedblleft{}
enth�lt mehr als 30~Domains (u.\,a. \emph{de.wikipedia.org}, \emph{bits.wikimedia.org},
\emph{counsellingresource.com}, \emph{www.spiegel.de}, \emph{www.stadt-und-gemeinde.de}
und \emph{w210.ub.uni-tuebingen.de}).

Dieser Ansatz ist durchaus vielversprechend. Von den 5000 beliebtesten
Wikipedia"=Eintr�gen hatten im Versuch 98,9\,\% ein einzigartiges
Abrufmuster \textendash{} ihr Abruf w�re f�r den DNS"=Server also
sehr wahrscheinlich erkennbar. Auch in weiteren Untersuchungen mit
5000 zuf�llig ausgew�hlten Wikipedia"=Eintr�gen, 6200 News"=Beitr�gen
von \emph{www.heise.de} und den Homepages von 100\,000 popul�ren
Webseiten waren bei der �berwiegenden Mehrheit der Seiten einzigartige
Abrufmuster zu beobachten.

Aber wieso ist es ein Problem, dass der DNS"=Server herausfinden
kann, welche Webseiten seine Nutzer abrufen? Weil Nutzern daraus erhebliche
Nachteile entstehen k�nnen, die sie gar nicht bemerken. Anhand der
besuchten Webseiten lassen sich mitunter Geschlecht, Alter, Beruf
und die aktuellen Interessen eines Nutzers erschlie�en. ,,Diese R�ckschl�sse
k�nnen zutreffend sein oder vollkommen abwegig``, erl�utert Peter
Schaar, ehemaliger Bundesdatenschutzbeauftragter, in einem Interview
auf \emph{welt.de,} ,,aber diese Informationen w�ren mit hoher Wahrscheinlichkeit
f�r den Anbieter einer Berufsunf�higkeitsversicherung, die Sie vielleicht
gerne abschlie�en w�rden, von gro�em Interesse. Der k�nnte Ihnen deswegen
vielleicht einen Vertrag verweigern oder h�here Beitr�ge verlangen.``

Abgesehen davon kann ein DNS"=Anbieter auch auf die \textbf{von einem
Nutzer eingesetzten Anwendungen} schlie�en. Viele Anwendungen verraten
sich bei der Suche nach Updates (z.\,B. \emph{windowsupdate.com},
\emph{su3.mcaffee.com}, \emph{aus3.mozilla.org}). Auf diese Anfragen
ist der DNS"=Anbieter jedoch nicht unbedingt angewiesen: Da der genaue
Ablauf der Namensaufl�sung nicht pr�zise festgelegt ist, haben sich
unterschiedliche Varianten etabliert. Charakteristisch ist z.\,B.
die Zeitspanne, die ein System auf einen DNS"=Server h�chstens wartet,
bevor es seine DNS"=Anfrage erneut �bermittelt. Die in der Dissertation
vorgestellten Untersuchungen zeigen, dass sich g�ngige Betriebssysteme
und Web"=Browser daran gut unterscheiden lassen.

Anhand der DNS"=Anfragen lassen sich also detaillierte Informationen
�ber die Betriebsumgebung eines Nutzern gewinnen. Dies ist insofern
beunruhigend, da dieses Wissen die Vorbereitung gezielter Angriffe
(sog. ,,targeted attacks``) erleichtert, bei denen dem Opfer Schadsoftware
untergeschoben wird. Wenn diese Schadsoftware genau auf die vorhandene
Infrastruktur des Opfers abgestimmt ist, steigt die die Wahrscheinlichkeit,
dass der Angriff erfolgreich ist. Sie kann dann n�mlich Sicherheitsmechanismen
wie Virenscanner oder Firewalls umgehen.

\section{Lassen sich Nutzer anhand ihres Verhaltens wiedererkennen?}

Wenn ein DNS"=Server lediglich beobachten k�nnte, dass man gerade
dabei ist, eine bestimmte Webseite abzurufen, w�re das Risiko f�r
die eigene Privatsph�re relativ �berschaubar. Besonders aussagekr�ftige
Interessen- und Nutzungsprofile entstehen allerdings, wenn ein DNS"=Anbieter
die Aktivit�ten eines Nutzers �ber Tage hinweg verfolgen kann. Dann
treten n�mlich wiederkehrende Muster zu Tage, anhand derer der Anbieter
auf das soziale Umfeld, Gewohnheiten und Krankheiten eines Nutzers
schlie�en k�nnte \textendash{} genau deswegen geht vielen Menschen
das eingangs erw�hnte Tracking durch Werbenetze zu weit.

Zum Gl�ck ist eine solch langfristige �berwachung bei den meisten
Nutzern aber gar nicht m�glich. Viele Internetprovider vergeben schlie�lich
sogenannte \quotedblbase dynamische IP-Adressen\textquotedblleft ,
d.\,h. ihre Kunden sind jeden Tag unter einer anderen IP-Adresse
online. Aus Sicht des Datenschutzes sind dynamische IP-Adressen sehr
zu begr��en. Der DNS"=Server verliert diese Nutzer bei jedem Wechsel
der IP-Adresse n�mlich aus den Augen. Gleiches gilt auch f�r Werbenetze,
wenn man die im Browser die Cookies l�scht (und der Browser keinen
einzigartigen Fingerabdruck hat). Zumindest dachte man das bisher.

Die Dissertation zeigt, dass diese Einsch�tzung wohl revidiert werden
muss. In der Dissertation wurde ein Verfahren entwickelt, mit dem
ein DNS"=Anbieter oder ein Werbenetz einen Nutzer trotz wechselnder
IP"=Adresse (und ggf. gel�schter Cookies) wiedererkennen kann. Das
Verfahren basiert auf der Annahme, dass jeder Nutzer beim Surfen seinen
Interessen und Vorlieben nachgeht, und dass jeder Nutzer eine einzigartige
Kombination von Interessen und Vorlieben hat.

Das \textbf{verhaltensbasierte Verkettungsverfahren} funktioniert
wie folgt: Der DNS-Anbieter sammelt fortlaufend die Domains aller
Webseiten, die alle Nutzer (identifiziert durch ihre jeweilige IP-Adresse)
innerhalb eines Tages aufl�sen. Die besuchten Webseiten und die Anzahl
der Anfragen, die auf jede Webseite entfallen, werden abgespeichert.
Sie stellen den Fingerabdruck eines Nutzers dar, also das, was auf
unseren Fingerkuppen Schleifen, Wirbel und Minuzien sind. Ein Auszug
aus einem solchen Fingerabdruck k�nnte etwa lauten: \quotedblbase Nutzer
\quotesinglbase 371241\textquoteright{} war am 01.03.2015 insgesamt
12 Mal auf www.google.com, neun Mal auf www.hamburg.de, zwei Mal auf
intranet.lufthansa.com und ein Mal auf www.bundestag.de\textquotedblleft .

Nehmen wir an, dass Nutzer 371241 in seiner n�chsten Internetsitzung
am 02.03.2015 unter eine andere IP-Adresse hat, er zwischenzeitlich
alle Tracking-Cookies gel�scht hat, und dass sein Browser keinen einzigartigen
Fingerabdruck besitzt. Eigentlich sollten DNS-Server oder Werbenetze
in diesem Fall keine Verbindung zwischen der aktuellen Sitzung und
der vorherigen Sitzung von Nutzer 371241 herstellen k�nnen (s. Abbildung~\ref{fig:Verkettung-von-Sitzungen}).
Durch verhaltensbasierte Verkettung k�nnte ihnen das allerdings trotzdem
gelingen. Dazu m�ssen sie lediglich die Webseiten und Anfrageh�ufigkeiten
aus der aktuellen Sitzung des Nutzers mit allen Fingerabdr�cken in
ihrer Datenbank vergleichen. F�r den Vergleich bieten sich bew�hrte
Algorithmen aus dem Data-Mining an. In der Dissertation kommt u.\,a.
ein Naive-Bayes-Klassifikator \cite{ManningRaghavanSchuetze08} zum
Einsatz, der h�ufig in Spam-Filtern eingesetzt wird, um vollautomatisch
E-Mails mit unerw�nschter Werbung auszusortieren.

\begin{figure}[t]
\begin{centering}
\includegraphics[width=0.4\textwidth]{class}
\par\end{centering}
\caption{\label{fig:Verkettung-von-Sitzungen}Verkettung von Sitzungen anhand
der besuchten Webseiten}
\end{figure}

Damit der Klassifikator Nutzer 371241 anhand seines Verhaltens wiedererkennen
kann, m�ssen sich dessen Sitzungen zum einen von den Sitzungen der
anderen Nutzer ausreichend stark unterscheiden. Das allein reicht
jedoch nicht. Die eigentlich interessante Frage ist, ob wir unsere
Interessen und Vorlieben so regelm��ig im Internet ausleben, dass
wir daran jeden Tag wiedererkannt werden k�nnen.

Diese Fragestellung wurde in einer umfangreichen Studie untersucht.
Dazu wurden in Kooperation mit dem Rechenzentrum der Universit�t Regensburg
die DNS"=Anfragen von Angestellten und Studierenden �ber einen Zeitraum
von f�nf Monaten protokolliert. Zum Schutz der Privatsph�re wurden
die IP-Adressen der Nutzer durch statische Pseudonyme ersetzt. Da
im Campus"=Netz jedem Nutzer immer dieselbe IP"=Adresse zugewiesen
wurde, konnten die Vorhersagen des entwickelten Verkettungsverfahrens
mit der tats�chlichen Zuordnung verglichen werden.

Mit diesem Datensatz wurden zahlreiche Experimente unter realit�tsnahen
Bedingungen durchgef�hrt. Die Wiedererkennung gelingt nicht immer,
aber �berraschend h�ufig. In einem der Experimente wird beispielsweise
eine Konstellation mit mehr als 3800 Studenten �ber einen Zeitraum
von zwei Monaten betrachtet. Dabei wird ein DNS"=Anbieter simuliert,
der die verhaltensbasierte Verkettung nutzt, um die Sitzungen aller
Studenten von einem Tag auf den n�chsten zu verkn�pfen. Im Mittel
w�re ihm dies in 86\% der F�lle gelungen. Bei knapp 14\% der Studenten
h�tte er sogar alle Sitzungen korrekt miteinander verbunden. Auch
bei gr��eren Nutzergruppen gelingt die Verkn�pfung der Sitzungen noch
erstaunlich gut. In einem Experiment mit mehr als 12\,000 Nutzern
wurde zum Beispiel noch eine Genauigkeit von 76\% erreicht. Weitere
Details zur Methodik stehen in \cite{HBF:2013}.

T�glich wechselnde IP"=Adressen sch�tzen demnach weitaus schlechter
vor Langzeit"=�berwachung als bislang angenommen.

Unklar bleibt allerdings wie gut die Verkettung bei \emph{normalen
}Werbenetzen funktionieren w�rde, also bei Werbenetzen, die (im Unterschied
zu Google) keinen eigenen DNS"=Server betreiben. Eine genaue Prognose
ist anhand des zur Verf�gung stehenden DNS"=Datensatzes nicht m�glich.
Normale Werbenetze sehen schlie�lich nur die Anfragen f�r Webseiten,
auf denen sie ihre Werbung vermarkten.

Die Gro�en der Branche sind allerdings auf nahezu jeder beliebten
Webseite vertreten \cite{EnglehardtN16} \textendash{} und das k�nnte
in der Praxis durchaus ausreichen, um Nutzer wiederzuerkennen: Im
Experiment sank die Genauigkeit n�mlich nur um sechs Prozentpunkte,
wenn dem Klassifikator \textendash{} anstelle s�mtlicher DNS"=Anfragen
\textendash{} nur die die Anfragen f�r die 500 beliebtesten Domains
zur Verf�gung standen. Betroffen sind also nicht nur Nutzer, die besonders
seltene Webseiten besuchen. Erkennbar ist man offenbar auch dann,
wenn man nur im Mainstream schwimmt.

\section{Wie sch�tzen wir uns vor der �berwachung durch DNS-Server?}

Da nicht davon auszugehen ist, dass das DNS auf absehbare Zeit von
einem datenschutzfreundlicheren Namensdienst abgel�st wird, bleibt
den Nutzern lediglich die M�glichkeit, Techniken zum Selbstdatenschutz
einzusetzen. Zun�chst denkt man hier nat�rlich an die bereits existierenden
Techniken. Alle in der Praxis verf�gbaren L�sungen weisen aber unangenehme
Einschr�nkungen auf. So taucht man zwar in der Masse unter, wenn man
einen Anonymisierer wie Tor \cite{Dingledine:2004} und einen restriktiv
konfigurierten Browser verwendet; allerdings funktionieren einige
Webseiten dann nicht mehr ordnungsgem�� und die Ladezeiten steigen
erheblich. Etwas besser schneiden speziell angepasste Anonymisierungsdienste
ab \cite{HFLF14}. Diese sch�tzen allerdings nur vor der Beobachtung
durch die Betreiber von DNS-Servern.

Zhao und Kollegen haben vorgeschlagen, die aufzul�senden Domainnamen
durch einige zuf�llig gew�hlte Dummy"=Anfragen zu verschleiern \cite{Castillo-Perez:2008,Zhao:2007a}.
Die Dissertation zeigt, dass dieses Range"=Query"=Verfahren weit
weniger Schutz bietet als bislang angenommen \cite{HerrmannMF14}.
Bei 9~Dummys kann ein findiger DNS"=Anbieter bis zu 94\,\% der
untersuchten Seiten erkennen, bei 99 Dummys immerhin noch 91\,\%.
Wie kommt es zu dieser �berraschend hohen Genauigkeit?

Der DNS"=Anbieter wendet lediglich das oben vorgestellte Website"=Fingerprinting"=Verfahren
an. Wenn die Dummy-Domains zuf�llig ausgew�hlt werden, ist es relativ
unwahrscheinlich, dass dabei ein vollst�ndiges Abrufmuster irgendeiner
anderen Webseite entsteht. Neben dem vollst�ndig vorhandenen (tats�chlichen)
Abrufmuster treten daher lediglich zahlreiche unvollst�ndige Abrufmuster
auf, die der Anbieter leicht ausschlie�en kann.

Auf Basis dieser Erkenntnis wurde in der Dissertation ein verbessertes
Range"=Query"=Verfahren vorgeschlagen, das die Dummy"=Domains so
ausw�hlt, dass stets \textbf{vollst�ndige Dummy-Abrufmuster} entstehen.
Es bietet zwar wirksamen Schutz vor Website"=Fingerprinting, sein
Einsatz gestaltet sich allerdings vergleichsweise aufw�ndig. Hier
sind weitere Untersuchungen n�tig, um die Praktikabilit�t zu verbessern.

Einen anderen Ansatz verfolgt der in der Dissertation entwickelte
\textbf{DNSMIX"=Anonymit�tsdienst} \cite{FederrathFHP11-dnsmixes}.
Hier werden nicht die beabsichtigten Domains verschleiert, sondern
die \emph{Identit�t der Teilnehmer}. Als Basis des Dienstes fungiert
eine Mix-Kaskade, die eine anonyme Namensaufl�sung erm�glicht. Die
Besonderheit des DNSMIX-Dienstes ist jedoch der sog. \textbf{Push-Dienst},
welcher die IP-Adressen aller h�ufig aufgel�sten Domains unverlangt
an alle mit dem Dienst verbundenen Teilnehmer �bermittelt \textendash{}
diese Domains k�nnen die Nutzer dann v�llig autonom, also f�r Au�enstehende
unbeobachtbar, aufl�sen. Dazu muss der Push-Dienst kontinuierlich
�berpr�fen, ob sich die IP-Adressen der betreffenden Domains ge�ndert
haben.

W�re ein solcher Push-Dienst �berhaupt praktikabel? Ist der Aufwand
f�r die Aktualisierung nicht viel zu gro�? Um diese Fragen zu beantworten,
wurden im Rahmen der Dissertation Untersuchungen mit dem DNS"=Daten\-verkehr
von 2000 Nutzern durchgef�hrt. Dabei stellte sich heraus, dass der
Gro�teil der DNS"=Anfragen einer relativ kleinen Menge von Domains
gilt.

Als guter Kompromiss zwischen Kosten und Nutzen hat sich die Fokussierung
auf die 10\,000 am h�ufigsten angefragten Domains erwiesen. Wenn
diese vom Push-Dienst an die Nutzer �bermittelt werden, k�nnen die
Nutzer im Mittel mehr als 80 \% ihrer Anfragen einsparen (s. Abbildung~\ref{fig:Das-Anfragevolumen-f=0000FCr}).
Da sich die IP-Adressen dieser Domains nur vergleichsweise selten
�ndern werden f�r die kontinuierliche �bermittlung nur etwa 0,8 KB/s
je Nutzer ben�tigt. Den Gro�teil der Namensaufl�sung k�nnen die Nutzer
somit verz�gerungsfrei und f�r Au�enstehende v�llig unbeobachtbar
abwickeln. Die �brigen Anfragen l�sen sie verschl�sselt �ber die Mix"=Kaskade
auf. Die Antwortzeiten waren dabei im Mittel mit 0,17\,s deutlich
niedriger als bei Tor.

\begin{figure}[t]
\begin{centering}
\includegraphics{orbb-rankOfHostname_totalNumberOfRequests-fordisputation}
\par\end{centering}
\caption{\label{fig:Das-Anfragevolumen-f=0000FCr}Das Anfragevolumen f�r eine
Domain h�ngt von ihrer Popularit�t ab.}
\end{figure}


\section{L�sst sich verhaltensbasierte Verkettung komfortabel verhindern?}

Wirksamer Schutz vor jeglicher Beobachtung durch den DNS"=Server
ist also grunds�tzlich umsetzbar, allerdings immer mit Aufwand verbunden.
Die Nutzer m�ssten zumindest eine zus�tzliche Software, z.\,B. den
DNSMIX-Client, auf ihren Rechnern installieren. Viele Nutzer sind
dazu allerdings nicht bereit.

Erfreulicherweise deuten die Ergebnisse der Dissertation darauf hin,
dass es zumindest eine benutzerfreundliche M�glichkeit gibt, die verhaltensbasierte
Verkettung von Sitzungen zu verhindern. Dazu muss die\textbf{ Sitzungsdauer}
\textbf{verk�rzt werden}. Die verhaltensbasierte Verkettung kann dadurch
erheblich erschwert werden: Bei st�ndlichem Wechsel der IP-Adresse
waren beispielsweise nur noch 55\,\% der aufeinanderfolgenden Sitzungen
verkettbar; wird die IP-Adresse alle 5~Minuten gewechselt, sinkt
die Genauigkeit auf 31\%. Enthalten die Sitzungen also nur wenige
Aktivit�ten und wechselt man konsequent in kurzen Intervallen die
eigene IP-Adresse, verliert sich die Spur relativ schnell im Sande.

Ein IP-Wechsel l�sst sich schon heute bewerkstelligen, wenn man einen
Internetanbieter nutzt, der bei jeder Einwahl eine andere IP-Adresse
vergibt. Eine Neueinwahl kann man durch eine Verbindungstrennung,
also etwa durch das Ziehen des Telefonkabels, erzwingen. Besonders
benutzerfreundlich ist das in der Tat allerdings nicht.

Mit Unterst�tzung des Internetproviders k�nnte der Adresswechsel in
Zukunft allerdings automatisiert werden, also v�llig ohne Zutun des
Nutzers im Hintergrund stattfinden. Gerade die derzeit laufende Einf�hrung
von IPv6 bietet hier eine Chance, die Privatsph�re aller Internetnutzer
besser zu sch�tzen. M�glicherweise lie�e sich der schnelle Adresswechsel
auch bei den heutigen IPv4-Internetanschl�ssen reibungslos durchf�hren
\cite{corrabs-1211-4704}. In zuk�nftigen Forschungsprojekten soll
untersucht werden, inwiefern dieser Ansatz praxistauglich ist. 

\section{Zusammenfassung und Ausblick}

Die Dissertation zeigt, dass Nameserver �ber bislang vernachl�ssigte
Beobachtungsm�glichkeiten verf�gen, welche die Privatsph�re der Nutzer
bzw. die Sicherheit ihrer IT-Systeme bedrohen. Da Internetnutzer nicht
erkennen k�nnen, ob und f�r welche Zwecke ihre DNS-Anfragen ausgewertet
werden, wird dadurch ihr Recht auf informationelle Selbstbestimmung
verletzt. Die Analyseverfahren haben allerdings den Charakter einer
\textbf{Dual-Use-Technologie}, d.\,h. sie eignen sich auch f�r den
verantwortungsvollen Einsatz im Rahmen der IT-Forensik \cite{HerrmannFF14}.
Ermittlungsbeh�rden k�nnen damit zuk�nftig z.\,B. die Internetaktivit�ten
von Verd�chtigen besser nachvollziehen bzw. IT-Systeme, die bei Straftaten
verwendet wurden, anhand der installierten Software einem Verd�chtigen
zuordnen. Der Mechanismus zum verhaltensbasierten Tracking wurde zwischenzeitlich
weiter verbessert \cite{Herrmann-pst,KirchlerHLK16}.

Die Ergebnisse zur verhaltensbasierten Verkettung betreffen nicht
nur Nutzer von DNS-Fremdanbietern \textendash{} sie sind von grunds�tzlicher
Bedeutung f�r alle Internetnutzer. Da die Tracking-Cookies der Werbenetze
heute von den meisten Web-Browsern nicht mehr akzeptiert werden, suchen
Werbetreibende kontinuierlich nach neuen Techniken zur �berwachung
des Nutzungsverhaltens. Es ist daher absehbar, dass Werbenetze in
Zukunft zur Wiedererkennung von Nutzern auch das Surfverhalten der
Nutzer heranziehen werden. Dieser Schritt stellt Datensch�tzer vor
v�llig neue Herausforderungen: Im Unterschied zu Tracking-Cookies
oder Browser"=Fingerprinting"=Techniken ist der Einsatz des verhaltensbasierten
Trackings auf den Endger�ten n�mlich nicht nachweisbar, da es ausschlie�lich
auf passiver Beobachtung beruht.

Die Ergebnisse der Dissertation sollen Internetanbieter, Software-Entwickler
und Datenschutzbeauftragte f�r die Beobachtungsm�glichkeiten sensibilisieren,
und langfristig die Entwicklung performanter und benutzerfreundlicher
Techniken zur datenschutzfreundlichen Namensaufl�sung vorantreiben.
Das in der Dissertation vorgestellte DNSMIX-Konzept zeigt, dass sich
neben der kontinuierlichen Verbesserung generischer Anonymit�tsdienste
wie Tor auch die Erforschung dienstspezifischer Datenschutz"=Techniken
lohnen kann.

Viele Nutzer legen allerdings mehr Wert auf Komfort und Performanz
als auf den Schutz ihrer Daten. Die von Datensch�tzern ausgesprochene
Empfehlung, zum Schutz der Privatsph�re auf potenziell problematische
Innovationen \textendash{} z.\,B. DNS-Prefetching oder DNS-Fremdanbieter
\textendash{} zu verzichten, verhallt bei diesen Nutzern ungeh�rt.
Vielversprechend sind daher insbesondere solche L�sungen, die ohne
Komfort- und Performanzeinbu�en nutzbar sind \textendash{} etwa die
Verk�rzung der Sitzungsdauer, die praktisch ohne Zutun der Nutzer
eingef�hrt werden k�nnte. Hier bieten sich gute M�glichkeiten der
interdisziplin�ren Zusammenarbeit: Erste Gespr�che mit den Landesdatenschutzbeauftragten
verliefen vielversprechend und resultierten in der expliziten Empfehlung,
dass Internetzugangsanbieter ihren Kunden stets mehrere nicht zusammenh�ngende
IPv6-Pr�fixe zur Verf�gung stellen sollten.

\bibliographystyle{plain}
\bibliography{arxiv}

\end{document}

Internet-Adressbuch-bedroht-Privatsphaere-arxiv.bbl
\begin{thebibliography}{10}

\bibitem{apnic2016}
{APNIC Labs}.
\newblock {DNSSEC Validation}, 2016.
\newblock \url{http://stats.labs.apnic.net/dnssec}, accessed: 2016-10-01.

\bibitem{Castillo-Perez:2008}
Sergio Castillo-Perez and Joaqu\'{\i}n Garc\'{\i}a-Alfaro.
\newblock {Anonymous Resolution of DNS Queries}.
\newblock In {\em Proc. On the Move to Meaningful Internet Systems (OTM 2008)},
  volume 5332 of {\em LNCS}, pages 987--1000. Springer, 2008.

\bibitem{Dingledine:2004}
Roger Dingledine, Nick Mathewson, and Paul~F. Syverson.
\newblock {Tor: The Second--Generation Onion Router}.
\newblock In {\em Proc. 13th USENIX Security Symposium}, pages 303--320.
  USENIX, 2004.

\bibitem{EnglehardtN16}
Steven Englehardt and Arvind Narayanan.
\newblock {Online Tracking: A 1-million-site Measurement and Analysis}.
\newblock In Edgar~R. Weippl, Stefan Katzenbeisser, Christopher Kruegel,
  Andrew~C. Myers, and Shai Halevi, editors, {\em Proceedings of the 2016 {ACM}
  {SIGSAC} Conference on Computer and Communications Security (CCS 2016)},
  pages 1388--1401. {ACM}, 2016.

\bibitem{FederrathFHP11-dnsmixes}
Hannes Federrath, Karl-Peter Fuchs, Dominik Herrmann, and Christopher Piosecny.
\newblock {Privacy-Preserving DNS: Analysis of Broadcast, Range Queries and
  Mix-Based Protection Methods}.
\newblock In Vijay Atluri and Claudia D\'{\i}az, editors, {\em ESORICS}, volume
  6879 of {\em LNCS}, pages 665--683. Springer, 2011.

\bibitem{FifieldE15}
David Fifield and Serge Egelman.
\newblock {Fingerprinting Web Users Through Font Metrics}.
\newblock In Rainer B{\"{o}}hme and Tatsuaki Okamoto, editors, {\em Financial
  Cryptography and Data Security ({FC} 2015)}, volume 8975 of {\em Lecture
  Notes in Computer Science}, pages 107--124. Springer, 2015.

\bibitem{Herrmann-diss}
Dominik Herrmann.
\newblock {\em {Beobachtungsm{\"o}glichkeiten im Domain Name System Angriffe
  auf die Privatsph{\"a}re und Techniken zum Selbstdatenschutz}}.
\newblock Springer Vieweg, Wiesbaden, 2016.
\newblock zugleich: Dissertation, Universit{\"a}t Hamburg, 2014.

\bibitem{corrabs-1211-4704}
Dominik Herrmann, Christine Arndt, and Hannes Federrath.
\newblock {IPv6 Prefix Alteration: An Opportunity to Improve Online Privacy}.
\newblock {\em CoRR}, abs/1211.4704, 2012.
\newblock Available at \url{http://arxiv.org/abs/1211.4704}.

\bibitem{HBF:2013}
Dominik Herrmann, Christian Banse, and Hannes Federrath.
\newblock {Behavior-based Tracking: Exploiting Characteristic Patterns in DNS
  Traffic}.
\newblock {\em Computers \& Security}, 39A:17--33, November 2013.

\bibitem{HerrmannFF14}
Dominik Herrmann, Karl{-}Peter Fuchs, and Hannes Federrath.
\newblock {Fingerprinting Techniques for Target-oriented Investigations in
  Network Forensics}.
\newblock In {\em Sicherheit}, volume 228 of {\em {LNI}}, pages 375--390. {GI},
  2014.

\bibitem{HFLF14}
Dominik Herrmann, Karl{-}Peter Fuchs, Jens Lindemann, and Hannes Federrath.
\newblock {EncDNS: A Lightweight Privacy-Preserving Name Resolution Service}.
\newblock In Miroslaw Kutylowski and Jaideep Vaidya, editors, {\em {ESORICS},
  Part {I}}, volume 8712 of {\em LNCS}, pages 37--55. Springer, 2014.

\bibitem{Herrmann-pst}
Dominik Herrmann, Matthias Kirchler, Jens Lindemann, and Marius Kloft.
\newblock {Behavior-Based Tracking of Internet Users with Semi-Supervised
  Learning}.
\newblock In {\em 14th Annual Conference on Privacy, Security and Trust (PST
  2016)}. IEEE Computer Society, 2016.

\bibitem{HerrmannMF14}
Dominik Herrmann, Max Maa{\ss}, and Hannes Federrath.
\newblock {Evaluating the Security of a DNS Query Obfuscation Scheme for
  Private Web Surfing}.
\newblock In Nora Cuppens{-}Boulahia, Fr{\'{e}}d{\'{e}}ric Cuppens, Sushil
  Jajodia, Anas Abou~El Kalam, and Thierry Sans, editors, {\em Proc. 29th
  {IFIP} {TC}-11 International Conference ({SEC} 2014)}, volume 428 of {\em
  {IFIP} AICT}, pages 205--219. Springer, 2014.

\bibitem{KirchlerHLK16}
Matthias Kirchler, Dominik Herrmann, Jens Lindemann, and Marius Kloft.
\newblock {Tracked Without a Trace: Linking Sessions of Users by Unsupervised
  Learning of Patterns in Their DNS Traffic}.
\newblock In David~Mandell Freeman, Aikaterini Mitrokotsa, and Arunesh Sinha,
  editors, {\em Proceedings of the 2016 {ACM} Workshop on Artificial
  Intelligence and Security, AISec@CCS 2016}, pages 23--34. {ACM}, 2016.

\bibitem{ManningRaghavanSchuetze08}
Christopher~D. Manning, Prabhakar Raghavan, and Hinrich Sch{\"u}tze.
\newblock {\em {Introduction to Information Retrieval}}.
\newblock Cambridge University Press, Cambridge, UK, 2008.

\bibitem{Zhao:2007a}
Fangming Zhao, Yoshiaki Hori, and Kouichi Sakurai.
\newblock {Analysis of Privacy Disclosure in DNS Query}.
\newblock In {\em Proc. International Conference on Multimedia and Ubiquitous
  Engineering (MUE 2007)}, pages 952--957. IEEE, 2007.

\end{thebibliography}
