# Google Public DNS

Google Public DNS ist ein Domain-Name-System-Dienst, der weltweit von Google angeboten wird. Der Dienst arbeitet als rekursiver Nameserver. Google Public DNS wurde am 3. Dezember 2009 angekündigt, um nach eigener Aussage, das Web schneller und sicherer zu machen.
Im August 2010 startete Google dann den DNS-Dienst. Seit 2018 ist er, mit über einer Billion gelieferten Adressen pro Tag, der meistgenutzte öffentliche DNS-Dienst der Welt. Google Public DNS ist nicht mit dem Google Cloud DNS verwandt, bei dem es sich um einen DNS-Hosting-Dienst handelt.

## Dienst

Der Google Public DNS betreibt rekursive Nameserver zur öffentlichen Nutzung unter den folgenden vier IP-Adressen. Die Adressen werden durch Anycast-Routing auf den nächstgelegenen operativen Server geleitet.
| IPv4-Adressen | 8.8.8.8 8.8.4.4 |
| IPv6-Adressen | 2001:4860:4860::8888 2001:4860:4860::8844 |
| DNS-Adressen | dns.google.com dns.google |
Der Dienst verwendet keine herkömmliche DNS-Nameserver-Software wie BIND, sondern stützt sich auf eine kundenspezifische Implementierung, die den von der IETF festgelegten DNS-Standards entspricht. Er unterstützt das DNSSEC-Protokoll seit dem 19. März 2013 vollständig. Zuvor akzeptierte und leitete Google Public DNS DNSSEC-formatierte Nachrichten weiter, führte jedoch keine Validierung durch.
Einige DNS-Provider praktizieren DNS-Hijacking bei der Bearbeitung von Anfragen, indem sie Webbrowser auf eine vom Provider betriebene Werbeseite umleiten, wenn ein nicht existierender Domänenname abgefragt wird. Dies gilt als vorsätzlicher Bruch der DNS-Spezifikation. Der Google-Dienst antwortet korrekt mit einer nicht existierenden Domain (NXDOMAIN).
Der Google-Dienst befasst sich auch mit der DNS-Sicherheit. Ein üblicher Angriffsvektor ist es, in einen DNS-Dienst einzugreifen, um eine Umleitung von Webseiten von legitimen zu bösartigen Servern zu erreichen. Laut Googles eigener Aussage betreibt der Dienst Bemühungen gegen DNS spoofing, einschließlich gegen Angriffe mit Hilfe der Kaminsky-Schwachstelle und Denial-of-Service-Angriffen resistent zu sein.
Google gibt verschiedene Effizienz- und Geschwindigkeitsvorteile an, wie z. B. die Verwendung von Anycast-Routing, um Nutzeranfragen an das nächstgelegene Rechenzentrum zu senden, Over-Provisioning von Servern zur Bewältigung von Denial-of-Service-Angriffen und Lastausgleichsserver unter Verwendung von zwei Cache-Ebenen mit einem kleinen Cache pro Host, der die beliebtesten Namen enthält und einem weiteren Pool von Servern, der nach dem nachzuschlagenden Namen partitioniert ist. Dieser Cache der zweiten Ebene reduziert die Fragmentierung und die Cache-Fehltrefferrate, die durch eine Erhöhung der Anzahl der Server entstehen können.
Im Juni 2021 stuft DNSPerf Google Public DNS als den viertschnellsten öffentlichen DNS-Resolver weltweit ein, hinter Cloudflares 1.1.1.1, DNSFilter und OpenDNS.

## DNS64

Der Google Public DNS64 Dienst betreibt rekursive Nameserver zur öffentlichen Nutzung unter den folgenden zwei IP-Adressen zur Verwendung mit NAT64. Diese Server sind mit DNS over HTTPS kompatibel.
| IP-Adressen | 2001:4860:4860::6464 2001:4860:4860::64 |
| DNS-Adressen | dns64.dns.google |

## Datenschutz

Google selbst gibt an, dass aus Performance- und Sicherheitsgründen die abgefragte IP-Adresse temporär für 24–48 Stunden gespeichert wird, die Angaben zum Internetdienstanbieter und zum Standort jedoch dauerhaft auf ihren Servern gespeichert werden.
Gemäß den allgemeinen Datenschutzerklärung & Nutzungsbedingungen von Google heißt es zwar: „Unter Umständen werden die durch uns erhobenen Daten zu den oben beschriebenen Zwecken dienst- und geräteübergreifend kombiniert.“ (Google: Datenschutzerklärung & Nutzungsbedingungen). In den Richtlinien von Google Public DNS heißt es jedoch ausdrücklich: “We do not correlate or associate personal information in Google Public DNS logs with your information from use of any other Google service except for addressing security and abuse.” (deutsch: „Wir korrelieren oder verknüpfen Ihre persönlichen Informationen in den Google Public DNS-Protokollen nicht mit Ihren Informationen aus der Nutzung anderer Google-Dienste, es sei denn, es geht um Sicherheit und Missbrauch.“)

## Geschichte

Am 3. Dezember 2009 wurde Google Public DNS im offiziellen Google-Blog von Produktmanager Prem Ramaswami angekündigt. Zusätzlich erschien ein Post im Google Code Blog.
Seit Januar 2019 unterstützte Google Public DNS das DNS-over-TLS-Protokoll.

### DNSSEC

Bei der Einführung von Google Public DNS wurde DNSSEC nicht direkt unterstützt. Obwohl RRSIG-Einträge abgefragt werden konnten, war das AD-Flag (Authenticated Data) in der Startversion nicht gesetzt, was bedeutet, dass der Server nicht in der Lage war, Signaturen für alle Daten zu validieren. Dies wurde am 28. Januar 2013 aktualisiert, als die DNS-Server von Google unbemerkt mit der Bereitstellung von DNSSEC-Validierungsinformationen begannen, allerdings nur, wenn der Client bei seiner Abfrage explizit das DNSSEC OK (DO)-Flag gesetzt hatte. Dieser Dienst, der ein client-seitiges Flag erfordert, wurde am 6. Mai 2013 standardmäßig durch eine vollständige DNSSEC-Validierung ersetzt, was bedeutet, dass alle Abfragen validiert werden, es sei denn, die Clients lehnen dies explizit ab.

### EDNS Client Subnet

Seit Juni 2014 erkennt Google Public DNS automatisch autoritative Nameserver, die die EDNS-Option EDNS-Client-Subnet (ECS) unterstützen, wie sie im RFC 7871 definiert sind. Dies erfolgt durch Sondieren der Nameserver mit einer niedrigen Rate mit ECS-Abfragen und Caching der ECS-Fähigkeit. Bei erkannter ECS-Unterstützung wird die ECS-Option automatisch in Anfragen an diese Nameserver mitgeschickt.

### Zensur in der Türkei

Im März 2014 wurde die Nutzung des Google Public DNS in der Türkei blockiert, nachdem es zur Umgehung der am 20. März 2014 per Gerichtsbeschluss in Kraft getretenen Sperrung von Twitter eingesetzt worden war. Die Blockade war das Ergebnis früherer diktatorischer Äußerungen vom damaligen Ministerpräsidenten Recep Tayyip Erdoğan, der geschworen hatte, „Twitter […] werden wir mit der Wurzel ausreißen“ (Recep Tayyip Erdoğan: Spiegel vom 21. März 2014), nachdem er schädliche Korruptionsvorwürfe in seinem inneren Kreis erhoben hatte. Die Methode wurde populär, nachdem festgestellt worden war, dass zur Durchsetzung des Verbots ein einfacher Domain-Namen-Block verwendet wurde, der durch die Verwendung eines alternativen DNS leicht umgangen werden könnte. Aktivisten verteilten Informationen über die Nutzung des Dienstes und sprühten die vom Dienst verwendeten IP-Adressen als Graffiti an Gebäude. Nach der Entdeckung dieser Methode ging die Regierung dazu über, die IP-Adresse von Twitter direkt zu blockieren, und Google Public DNS wurde vollständig blockiert.