Malaysia verpflichtet ISPs, DNS-Anfragen auf lokale Server umzuleiten

 (thesun.my)
1 Punkte von GN⁺ 2024-09-08 | 1 Kommentare | Auf WhatsApp teilen
  • Die malaysische MCMC hat ISPs angewiesen, DNS-Traffic auf die eigenen Server der jeweiligen Anbieter zurückzuleiten, selbst wenn Nutzer Drittanbieter-DNS wie Google DNS oder Cloudflare verwenden
  • Die zentrale Begründung ist, die Umgehung der Blockierung schädlicher Websites über lokale ISP-DNS zu verhindern, damit bösartige Seiten malaysische Nutzer nicht erreichen
  • Laut MCMC wurden von 2018 bis zum 1. August 2024 24.277 Websites blockiert; den größten Anteil machten Online-Glücksspiel mit 39 % und Pornografie mit 31 % aus
  • Auf die Kritik, DNS-Umleitung sei eine „vollständige Sperre“, entgegnet die MCMC, dass schädliche Inhalte wie Urheberrechtsverletzungen, Online-Glücksspiel und Pornografie im Visier stünden und der Zugriff auf legale Seiten erhalten bleibe
  • Wenn es Probleme beim Zugriff auf legale Websites gibt, können Nutzer dies ihrem ISP melden, und Websites, die sich zu Unrecht betroffen sehen, können über das Appeals Tribunal Einspruch einlegen

Anweisung zur Umleitung auf ISP-DNS

  • Die MCMC hat ISPs angewiesen, DNS-Traffic, der Drittanbieter-DNS-Server nutzt, auf die eigenen DNS-Server der jeweiligen ISPs umzuleiten
  • Dazu gehört auch die Nutzung von Drittanbieter-DNS-Servern wie Google DNS oder Cloudflare
  • Ziel ist es, sicherzustellen, dass Nutzer weiterhin den Schutz lokaler ISP-DNS-Server erhalten und bösartige Websites malaysische Nutzer nicht erreichen können

Die Schutzlogik der MCMC

  • DNS ist das System, das Website-Adressen in numerische IP-Adressen umwandelt, damit Websites im Internet gefunden werden können
  • ISPs betreiben eigene DNS-Server, die so konfiguriert werden können, dass sie den Zugriff auf bestimmte Websites oder Domains je nach Inhaltstyp blockieren
  • Die MCMC ist der Ansicht, dass DNS-Blockierung Nutzer vor den folgenden Arten von Websites schützen kann
    • Websites zur Verbreitung von Malware
    • Phishing-Websites und Seiten für andere bösartige Aktivitäten
    • Unangemessene Inhalte wie Websites mit Erwachsenenmaterial und Gewalt

Umfang und Arten der Sperren

  • Die MCMC hat als Maßnahme zum Schutz der Sicherheit von Internetnutzern von 2018 bis zum 1. August 2024 insgesamt 24.277 Websites blockiert
  • Die Kategorien der blockierten Websites konzentrieren sich auf Online-Glücksspiel sowie pornografische und obszöne Inhalte
    • Online-Glücksspiel: 39 %
    • Pornografische und obszöne Inhalte: 31 %
    • Urheberrechtsverletzungen: 14 %
    • Sonstige schädliche Websites: 12 %
    • Prostitution: 2 %
    • Illegale Investitionen und Betrug: 2 %
  • Anteil der Sperrkategorien: {b:39,31,14,12,2,2}

Unterschied zwischen Drittanbieter-DNS und lokalem DNS

  • Einige Nutzer entscheiden sich für Drittanbieter-DNS-Server wie Google DNS oder Cloudflare
  • Drittanbieter-DNS ist dafür bekannt, Vorteile wie höhere Geschwindigkeit oder besseren Datenschutz zu bieten
  • Die MCMC ist der Ansicht, dass Drittanbieter-DNS im Vergleich zu lokalen ISP-DNS-Servern möglicherweise nicht das gleiche Schutzniveau bietet, insbesondere beim Schutz vor schädlichen Inhalten im lokalen Kontext

Reaktion der MCMC auf Kritik an einer vollständigen Sperre

  • Die MCMC betrachtet die Kritik, es handle sich um eine „harte Maßnahme“, als unzutreffende Behauptung
  • Sie bekräftigt, dass das Ziel der Maßnahme der Schutz gefährdeter Gruppen vor schädlichen Online-Inhalten sei
  • Auch die Behauptung, DNS-Umleitung bedeute eine vollständige Sperre, weist sie zurück
    • Blockiert werden Websites, die nachweislich schädliche Inhalte hosten
    • Genannte Beispiele sind Urheberrechtsverletzungen, Online-Glücksspiel und Pornografie
    • Legale Websites bleiben wie gewohnt erreichbar
    • Die DNS-Umleitung soll schädliche Inhalte herausfiltern und zugleich den Zugang zu sicheren Websites ohne spürbare Unterbrechung aufrechterhalten

Probleme beim Zugriff und Einspruchsverfahren

  • Wenn es Schwierigkeiten beim Zugriff auf legale Websites gibt, können Nutzer dies direkt ihrem ISP melden
  • Die MCMC erklärte, bislang keine solchen Meldungen erhalten zu haben
  • Websites, die sich zu Unrecht ins Visier genommen oder betroffen sehen, können über die vorgesehenen Kanäle Einspruch einlegen
  • Das von der MCMC eingerichtete Appeals Tribunal, dessen Vorsitz ein Richter des High Court führt, arbeitet unabhängig und prüft jeden Fall fair und unparteiisch

Separates regulatorisches Framework für Internetsicherheit

  • Die MCMC hatte bereits angekündigt, zum 1. August 2024 ein neues regulatorisches Framework für die sichere Internetnutzung von Kindern und Familien einzuführen
  • Der geplante Starttermin ist der 1. Januar 2025
  • Nach dem neuen Framework müssen Social-Media- und Internet-Messaging-Dienste mit mindestens 8 Millionen registrierten Nutzern in Malaysia eine Application Service Provider Class Licence gemäß dem Communications and Multimedia Act 1998, Act 588, beantragen

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-09-08
Meinungen auf Hacker News

  • Die MCMC sagt zwar, es handle sich um eine „Maßnahme zum Schutz gefährdeter Gruppen vor schädlichen Online-Inhalten“, aber so etwas beginnt immer mit der Ausrede „es ist zu deinem Besten“

    • Ich frage mich, ob schon jemand einen AI-Webbrowser gebaut hat
      Ein Browser, der Bilder neu zeichnet, die Nutzer anstößig finden könnten, Werbetexte umformuliert und Kommentare positiv umschreibt, wäre ziemlich interessant
    • Malaysia ist dafür bekannt, den Film Babe verboten zu haben, weil ein sprechendes Schwein religiöse Gefühle verletzen könnte
      Meinungsfreiheit scheint dort keine hohe Priorität zu haben
    • Das ist völlig verrückt
      Nach dem Motto: „Wir sind vom Himmel mit der übermenschlichen Fähigkeit gesegnet, vorherzusagen, was Schaden anrichten wird; nehmt diesen Segen also an. Wir werden euch selbstlos vor Schaden bewahren“
      Die Prämisse, dass „Worte im Netz Schaden anrichten“, ist so absurd wie diese Satire von Monty Python: https://www.youtube.com/watch?v=Qklvh5Cp_Bs
      Der tatsächliche Schaden entsteht bei denen, die behaupten, durch Worte emotional verletzt worden zu sein, und mit Opfermacht Probleme in Schule, Karriere oder vor Gericht verursachen
      Wenn Worte wirklich so gefährlich wären, wären sie sofort zur Waffe gemacht worden; die Sensibilität bei diesem Thema wirkt wie eine extreme Übertreibung
      Da die Prämisse, dass Worte Schaden anrichten, unsinnig ist, wird auch die Definition von Schaden genauso leer
      Wenn man jemanden fragt, der aus Machtstreben Klassensprecher oder HOA-Vorsitzender geworden ist, nach einer Politik, die er gegen den Willen der Mitglieder im Alleingang durchdrückt, sieht man hinter der plausibel klingenden guten Absicht egoistische Motive
      Staatliche Politik ist dasselbe Spiel; nur sind die machtgierigen Leute, die mit den Händen herumfuchteln, geschickter und erfahrener
    • Es ist doch für die Kinder. Liebst du etwa keine Kinder?
    • Dazu kommt, dass dieses Land auch Apartheid praktiziert hat

  • Als Netzwerkverantwortlicher ist es eine nützliche Funktion, DNS in meinem Netzwerk transparent umleiten zu können
    Für Nutzer des öffentlichen Internets fühlt es sich aber wie ein Bug an
    Auch wenn Dinge wie DoH für Netzwerksicherheit und die Durchsetzung von Policies lästig sind, ist es inzwischen an der Zeit, dass sie so verbreitet werden, dass Regierungen DNS nicht mehr für ihre eigenen Zwecke missbrauchen können

    • Der Nachteil von verschlüsseltem DNS ist, dass es über traditionelles unverschlüsseltes DNS oder bekannte IP-Listen gebootstrappt werden muss
      Die meisten Clients, die derzeit DoH/DoT nutzen, verwenden einen von wenigen Anbietern wie Cloudflare, Google oder Quad9
      Eine entschlossene Regierung kann diese Endpoints leicht blockieren
      Natürlich könnte ein verschlüsselter DNS-Client bei einer Blockade nicht auf traditionelles DNS zurückfallen, sondern einfach den Dienst verweigern; dann könnte der Client in diesem Land aber unbenutzbar werden
      Das erinnert an den Fall, als Kasachstan alle inländischen TLS-Sessions per Man-in-the-Middle angreifen und die Bürger ein Root-Zertifikat manuell installieren lassen wollte
      Google, Apple und Mozilla blockierten dieses Root-Zertifikat vollständig, sodass es selbst dann nicht funktionierte, wenn Nutzer gehorchten: https://en.wikipedia.org/wiki/Kazakhstan_man-in-the-middle_a...
      In dieser politischen Konfrontation scheinen die Browser-Entwickler gewonnen zu haben, aber ich weiß nicht, ob sie denselben Kampf auch führen würden, wenn DoH/DoT blockiert wird
    • Als Verantwortlicher für Infrastruktursicherheit ist DoH für mich sogar gut
      Man kann einen vom Unternehmen betriebenen DoH-Server per Konfigurationsmanagement auf allen internen Geräten erzwingen, egal ob die Geräte im VPN sind oder nicht
      Man hat gute Sichtbarkeit darüber, welches Gerät was abfragt, interne Domains lassen sich einfach behandeln, und Malware-Domains können sowohl innerhalb als auch außerhalb des Unternehmens blockiert werden
      Zumindest in den Firmen, in denen ich gearbeitet habe, gab es viele Laptops in Cafés oder bei WeWork, und die Hälfte hatte nicht einmal das VPN eingeschaltet
      Für mich war DoH ein deutlich größerer Gewinn als Aufwand
    • Selbst wenn DNS umgeleitet wird, entscheidet letztlich bei den meisten Internetnutzern der ISP, wohin DNS-Anfragen als Nächstes gehen
      In den letzten Jahren haben sich Deep-Packet-Inspection-Geräte stark verbreitet; sie sind günstig, leistungsfähig und haben hohen kontinuierlichen Durchsatz
      DNS-Anfragen auf UDP-Port 53 an ein gewünschtes Ziel umzuleiten oder sie zu droppen bzw. in ein Blackhole zu schicken, ist ein Kinderspiel
      Nur ein VPN-Tunnel kommt hindurch, aber moderne Deep-Packet-Inspection-Geräte können auch VPN-ähnliche Traffic-Signaturen erkennen und blockieren
      Eine praktische Lösung, die Traffic-Manipulation zuverlässig widersteht, ist, einen VPN-Tunnel in einen Shadowsocks-Tunnel zu packen, der Traffic-Signaturen verschleiert und den verwendeten Port ständig wechselt
    • DoH hilft gegen Regierungen, aber nicht gegen Werbetreibende
      Es gibt keine Möglichkeit, Google oder App-Entwickler daran zu hindern, per DoH auf ihre eigenen DNS-Endpoints zuzugreifen und lokale Maßnahmen wie Malware- und Tracking-Blocker zu umgehen
      DoH ist ein zweischneidiges Schwert, und für die meisten sind Werbetreibende eine nähere und weiter verbreitete Bedrohung als die eigene Regierung
    • Als Netzwerkverantwortlicher kann man DNS-Anfragen von allen Geräten zu Hause transparent auf den eigenen DNS-Resolver umleiten
      Dann kann man selbst kontrollieren, was aufgelöst wird — Malware, Phishing-Seiten, Pornos, die Kinder nicht sehen sollen, und so weiter — und diesen Resolver DoH verwenden lassen
      Aber Browser aufzufordern, „DoH allgemein durchzusetzen“, ist keine gute Idee
      Browser könnten am Ende ausschließlich DoH erzwingen, was mit Unternehmensrichtlinien kollidiert und dazu führen könnte, dass solche Browser in Unternehmensumgebungen nicht nutzbar sind

  • Die Balkanisierung des Internets scheint unvermeidlich
    Je mehr Menschen ins Internet kommen, desto stärker prallen Überzeugungen, Werte und Politik aufeinander
    Große Märkte wie die EU oder Indien können Unternehmen auf Linie bringen, aber für kleinere Länder ist es einfacher, globale Plattformen selektiv zu blockieren und lokale, rechtskonforme Alternativen zu haben
    China hat gezeigt, dass das möglich und profitabel ist

    • Es war ein großes Glück, eine außergewöhnliche Zeit erlebt zu haben, in der ein wirklich globales Datennetz existierte
      Am Ende fühlt es sich so unvermeidlich wie Entropie an, dass Bürokraten und kleine Lehnsherrschaften die Existenz dieses Systems bemerken und ihren Anteil einfordern
    • Die Internetzensur scheint bereits einen unumkehrbaren Punkt erreicht zu haben
    • Ehrlich gesagt überrascht es mich, dass es in den USA noch keinen rechtlichen Rahmen gibt, der ISPs zwingt, IPs oder DNS-Hostnamen zu blockieren
      Ich habe seit über zehn Jahren erwartet, dass so etwas kommt, aber es ist noch nicht passiert

  • Pornografische bzw. obszöne Inhalte machten 31 % aus, Urheberrechtsverletzungen 14 %, und man spricht davon, „schutzbedürftige Gruppen vor schädlichen Online-Inhalten zu schützen“ – aber ich verstehe nicht, wer durch Pornografie oder, noch lächerlicher, Urheberrechtsverletzungen Schaden nehmen soll
    Das wirkt wie eine sehr dünne Ausrede
    Die Internetzensur in meinem Land Russland begann auch damit, dass man „Kinder vor Suizid und Drogen schützt“, aber selbst als Erwachsener konnte ich diesen „Schutz“ nicht ablehnen
    Wie zu erwarten war, wurde der Kreis der Dinge, vor denen Menschen ohne ihre Zustimmung „geschützt“ werden müssen, mit der Zeit immer größer
    Am Ende ist das Internet ohne VPN, Paket-Splitter und andere Anti-Zensur-Lösungen völlig kaputt, sofern man nicht nur lokale Dienste, russischsprachige Inhalte und staatseigene Medien nutzt
    Auch populäre VPN-Protokolle wurden inzwischen blockiert. Natürlich alles nur zu deiner Sicherheit

  • Da es heißt, man blockiere „nur Websites, bei denen festgestellt wurde, dass sie bösartige Inhalte wie Urheberrechtsverletzungen, Online-Glücksspiel und Pornografie hosten“, scheint Pornografie in Malaysia illegal zu sein
    Für Nutzer in Malaysia scheint jetzt ein guter Zeitpunkt zu sein, auf DoH umzusteigen
    Edit: Laut Wikipedia ist der Besitz oder die Weitergabe pornografischen Materials illegal und kann mit einer Geldstrafe von bis zu RM10,000 geahndet werden

    • Ich bin Malaysian, und selbst DoH populärer DNS-Anbieter wie Google und Cloudflare haben sie bereits kaputtgemacht
      Es sieht so aus, als würden sie 1.1.1.1 auf ihr eigenes DNS routen, und wenn man versucht, eine DoH-Verbindung aufzubauen, erscheint SSL_ERR_BAD_CERT_DOMAIN
      Die einzigen Optionen scheinen VPN oder ein Katz-und-Maus-Spiel zu sein, bei dem man einen DNS findet, der noch nicht umgeleitet wird
    • In meinem Land South Korea ist die Nutzung von Pornodiensten ebenfalls verboten
      Sie kappen TLS auch mithilfe von TLS HELLO
      Deshalb sollte DoH im Moment zwar gut funktionieren, aber ich vermute, dass die Regierung bald auch HTTPS- oder TLS-Verbindungen kappen will
    • Länder kümmern sich wirklich immer um die wichtigsten Kämpfe

  • In diesem Fall werden die von staatlich genehmigten DNS-Anbietern blockierten „bösartigen Websites“ ziemlich sicher auch potenziell lebensrettende LGBT-Ressourcen enthalten
    Dabei wird es nicht bleiben; man sollte davon ausgehen, dass auch regierungskritische Inhalte blockiert werden
    Malaysias Demokratiebilanz ist nicht gut
    Natürlich gibt es noch Umgehungsmöglichkeiten, und man kann einen guten VPN wie Proton nutzen
    Dieses Verfahren werden autoritäre Regime weltweit ganz sicher kopieren

    • Malaysias Demokratiebilanz ist nicht hervorragend, aber es ist dennoch eine Demokratie
      Und selbst in einem Malaysia, in dem Demokratie sehr gut funktioniert, wäre es sehr wahrscheinlich, dass eine solche Maßnahme gewählt würde
      Man sollte Demokratie nicht mit liberalen Werten verwechseln
    • Das Wort Demokratie selbst bedeutet gar nichts
      Auch in Europa gibt es Demokratien, in denen es als in Ordnung gilt, Menschen wegen online geschriebener Texte ins Gefängnis zu schicken
    • „Autoritäre Regime weltweit werden das kopieren“ – aber ich denke, dieser Zug ist längst abgefahren
      Malaysia ist ganz sicher nicht das erste Land, das so etwas macht
    • Ich weiß nicht, was daran „lebensrettend“ sein soll
      Im Großen und Ganzen ist es ein vergleichsweise gemäßigter islamischer Staat; wenn man schwul ist und sich unauffällig verhält, ist das Beste, worauf man hoffen kann, wohl, dass einen niemand groß belästigt
    • Ich bin überrascht, dass VPN in Malaysia legal ist
      Normalerweise gehen Zensur und VPN-Blockaden Hand in Hand

  • Die Spannung zwischen dem Internet ohne Grenzen und staatlicher Souveränität ist einer der wichtigsten Metakonflikte in der heutigen Welt
    Von der einen Seite kann man es als harte autoritäre Maßnahme kritisieren, von der anderen Seite als digitale Souveränität verteidigen

    • Autoritäre berufen sich immer auf Souveränität; warum sollte es anders sein, wenn es darum geht, das Internet kaputtzumachen

  • Vielleicht ist es an der Zeit, ein Graswurzelnetzwerk zu starten, das riesige /etc/hosts-Dateien austauscht

    • Riesig muss es nicht sein
      Idealerweise würde man je nach Region nur die Einträge sammeln, die aus politischen Gründen zensiert werden
    • https://winhelp2002.mvps.org/hosts.htm
    • Das ist nur sinnvoll, wenn man auf dem Desktop root-Rechte hat
      Die meisten hier haben diese Rechte auf ihren eigenen Geräten wohl, aber man braucht eine Lösung, die für alle auf jeder Plattform funktioniert, und das ist nicht einfach
      Apps wie VPNs sind im Apple App Store in China ebenfalls nicht erlaubt
      Zum Glück kann man zu anderen Stores wechseln, die App herunterladen und wieder zurückwechseln, und Android-Nutzer können wie immer APKs sideloaden
      Aber allein daran sieht man, wie kompliziert das ist
      Noch ein weiterer Grund, warum ich Apples geschlossenes Ökosystem wirklich hasse

  • Wegen öffentlicher Gegenreaktionen hat Malaysia seine Position geändert und beschlossen, die verpflichtende DNS-Umleitung nicht umzusetzen: https://www.nst.com.my/news/nation/2024/09/1102836/updated-m...

  • Ich frage mich, ob sie über DoT, DoH, DNSCrypt nachgedacht haben

    • Ich vermute, dass die meisten Länder, die so etwas tun, auch große DoH-Anbieter wie Cloudflare oder Google blockieren oder umleiten
      Natürlich kann man auf andere Server ausweichen oder im schlimmsten Fall einen HTTP-Proxy nutzen, um DoH-Traffic zu verbergen
      Es gibt auch Länder, die den gesamten HTTPS-Traffic per Man-in-the-Middle angreifen; dann bleiben nur die Optionen, das staatliche Man-in-the-Middle-Root-Zertifikat im Trust Store zu installieren oder kein HTTPS zu verwenden
    • Es könnte auch Leute geben, die DNS-IPs direkt auf Routern und Smartphones eintragen
      Google 8.8.8.8 8.8.4.4
      Control D 76.76.2.0 76.76.10.0
      Quad9 9.9.9.9 149.112.112.112
      OpenDNS Home 208.67.222.222 208.67.220.220
      Cloudflare 1.1.1.1 1.0.0.1
      AdGuard DNS 94.140.14.14 94.140.15.15
      CleanBrowsing 185.228.168.9 185.228.169.9
      Alternate DNS 76.76.19.19 76.223.122.150
      https://github.com/yarrick/iodine =3