Cloudflare hat das Ergebnis einer Datenschutzprüfung seines DNS-Diensts 1.1.1.1 veröffentlicht. Der von der Wirtschaftsprüfungsgesellschaft KPMG durchgeführte Audit bestätigt demnach, dass Cloudflare keine Daten zu DNS-Anfragen auf seinen Servern speichert, wie Bleeping Computer berichtet.
Die Frage nach der Überprüfbarkeit von Cloudflares Angaben zu seinem DNS-Service beschäftige zuletzt immer mehr Nutzer. Dazu trug auch die Entscheidung von Mozilla bei, ab Werk Cloudflare als DNS-Resolver für die DNS-over-HTTPS-Implementierung im Browser Firefox auszuwählen.
Dem Bericht zufolge zeigen die jetzt veröffentlichen Prüfungsergebnisse, dass sich Cloudflare an die eigenen Angaben zum Umgang mit Kundendaten hält. So werden beispielsweise die Daten des öffentlichen DNS-Resolvers durch eine Kürzung der Quell-IP-Adresse anonymisiert. Diese Daten werden zudem, inklusive der anonymisierten IP-Adressen, innerhalb von 25 Stunden gelöscht. Das gilt auch für Log-Dateien des Public Resolver.
Bei einem Punkt stellte KPMG jedoch eine Abweichung von Cloudflares Angaben fest. So ist die Aussage, dass IP-Adressen von DNS-Anfragen grundsätzlich nicht gespeichert werden, nicht haltbar.
Die Prüfung ergab, dass beim Netzwerk-Monitoring per Netflow/Sflow nach dem Zufallsprinzip bis zu 0,05 Prozent aller Pakete gespeichert werden. In diesen Daten sind auch die IP-Adressen enthalten, die die zugehörige DNS-Abfragen gestellt haben. In einem Blogeintrag erklärte Cloudflare-CTO John Graham-Cumming nun, dass die Speicherung unabhängig vom DNS-Dienst für jeglichen Traffic vorgenommen werde, den Cloudflare verarbeite.
„Wir bewahren solche Daten für einen begrenzten Zeitraum auf, um sie in Verbindung mit der Behebung von Netzwerkfehlern und der Eindämmung von Denial-of-Service-Angriffen zu verwenden“, schreibt Graham-Cumming.
Darüber hinaus stellte KPMG fest, dass Cloudflare Log-Daten nicht nach 24, sondern nach spätestens 25 Stunden löscht. Einige anonymisierte Daten würden zudem unbegrenzt aufbewahrt. Trotzdem kommen die Prüfer zu dem Schluss, dass der DNS-Dienst so konfiguriert ist, dass er den öffentlichen Datenschutzversprechen von Cloudflare entspricht. Allerdings bezieht das Fazit nur auf den Testzeitraum 1. Februar bis 31. Oktober 2019.
Quelle: Cloudflares DNS-Service besteht Datenschutzprüfung | ZDNet.de