DNS4EU: När datainsamling ersätter handling

När EU lanserade DNS4EU som ett alternativ till kommersiella DNS-tjänster som Google Public DNS och Cloudflares 1.1.1.1, hyllade många initiativet. Löftet löd tydligt: en europeiskt ägd DNS-tjänst som respekterar integritetslagstiftningen och håller användarförfrågningar inom EU:s jurisdiktion.

Sedan hittade forskare något intressant.

En blocklista utan blockering

DNS4EU har systematiskt samlat in blocklistor för piratkopiering från flera EU-länder – listor som domstolar har beordrat internetleverantörer att implementera för att stoppa tillgång till sajter med upphovsrättsintrång. DNS4EU underhåller dessa listor internt. Men här kommer grejen: tjänsten använder dem faktiskt inte för att blockera någonting.

Varför det här bör intressera dig

Du registreras utan samtycke

När du använder DNS4EU vet tjänsten att du har frågat efter domäner som finns på dessa blocklistor. Även om ingen blockering sker finns det en registrering som visar att din IP-adress försökte nå en potentiellt piratkopierad sajt. Dataspåret väcker en grundläggande fråga: Varför samla in information som man inte tänker använda?

För företag och utvecklare som bygger applikationer skapar detta ett oroande prejudikat. Statligt stödda tjänster som samlar in beteendedata "för säkerhets skull" strider mot den integritetsfokuserade positionering som gjorde DNS4EU attraktiv.

Infrastrukturtillitsproblemet

Som utvecklare fattar vi ofta förtroendebeslut kring infrastruktursberoenden. Vi väljer DNS-leverantörer baserat på tillförlitlighet, hastighet och integritetspolicyer. DNS4EU positionerade sig som ett integritetsrespekterande alternativ.

Att upptäcka att denna EU-stödda resolver underhåller listor över "oönskade" webbplatser – även utan blockering – förändrar grundläggande förtroendekalkylen. Vad mer kan finnas på de listorna? Underhållningssajter? Nyhetssidor? Politiskt innehåll?

Den tekniska verkligheten

Ur ett tekniskt perspektiv har DNS-resolvers tre val när de stöter på blockade domäner:

1. Returnera den riktiga IP-adressen (tillåter åtkomst)
2. Returnera NXDOMAIN (domänen finns inte)
3. Returnera en sinkhole-IP (omdirigering till varning/blockeringssida)

DNS4EU verkar göra alternativ ett. Dina förfrågningar blockeras inte, men metadata om dem samlas fortfarande in.

Vad bör du använda istället?

Det betyder inte att du måste överge integritetsfokuserad DNS helt. Flera alternativ finns kvar som bra val för utvecklare och företag:

• Cloudflare (1.1.1.1) — Branschledare med starka integritetspolicyer
• Quad9 — Ideell organisation med skadlig kod-blockering och ingen loggning
• NextDNS — Anpassningsbart filter med transparenta loggningspolicyer

Nyckeln är att läsa integritetspolicyer noggrant och förstå vilken data din DNS-leverantör samlar in – även om de aldrig använder den.

Den större bilden

DNS4EU:s blocklistinsamling avslöjar ett oroande mönster i "suverän" internetinfrastruktur: antagandet att mer datainsamling equals mer kontroll, oavsett om den datan tjänar något legitimt syfte.

För utvecklare som bygger applikationer för europeiska användare är detta en påminnelse om att integritet handlar inte bara om var data lagras – det handlar om vilken data som samlas in från första början.

EU positionerade DNS4EU som ett integritetsbevarande alternativ till amerikanska DNS-tjänster. Men att hålla blocklistor utan att använda dem antyder en annan agenda: övervakningskapacitet utan ansvarsskyldighet.

Om du bygger för den europeiska marknaden och överväger DNS-infrastruktur, gör informerade val. Förstå vad dina leverantörer samlar in. Fråga dig varför de samlar in det. Och kom ihåg: data du inte delar kan fortfarande vara data som behålls.

Ironin är uppenbar för alla: en integritetsfokuserad DNS-resolver som samlar in listor över webbplatser bara för att... ha dem. Ibland är det mest intressanta med en teknik inte vad den gör, utan vad den väljer att inte göra medan den ändå samlar in informationen.