tldlog.com

nachrichten über domains

DNSSEC

Domain Name System Security Extensions

Erweiterungen des DNS Domain Name System Das Verzeichnis des Internets, das Domainnamen mit Computeradressen verknüpft. Vollständige Definition, die DNS-Antworten digitale Signaturen hinzufügen. Mit den Signaturen kann ein Resolver Der DNS-Server, der Domainnamen im Auftrag der Nutzer auflöst. Vollständige Definition (der Server, der Namen für Nutzer nachschlägt) prüfen, ob eine Antwort echt ist und unterwegs nicht verändert wurde. Inhaber aktivieren DNSSEC über ihren DNS-Anbieter Ein Unternehmen, das die Nameserver einer Domain betreibt und nicht der Registrar sein muss. Vollständige Definition und ihren Registrar Ein Unternehmen, das Domainnamen im Auftrag von Kunden bei der Registry registriert. Vollständige Definition.

kategorie
DNS und technische Grundlagen

Aktualisiert am 4 min lesezeit

DNSSEC ergänzt die Antworten des Domain Name System um digitale Signaturen, sodass ein Computer prüfen kann, ob eine Antwort vom Inhaber einer Domain stammt und unterwegs nicht verändert wurde. Es verbirgt nichts und verhindert nicht jeden Angriff. Um es einzuschalten, müssen DNS-Anbieter, Registrar und Registry Die zentrale Datenbank und das System einer Top-Level-Domain, im weiteren Sinne auch die Organisation, die sie betreibt. Vollständige Definition zusammenarbeiten.

Wovor DNSSEC schützt, einfach erklärt

Wenn jemand example.com aufruft, schlägt ein Resolver die Adresse nach. Ohne DNSSEC kann ein Angreifer, der dem Resolver eine gefälschte Antwort unterschiebt, Besucher auf den falschen Server lenken. Mit DNSSEC prüft ein validierender Resolver die Signatur und weist die Fälschung zurück.

RFC Request for Comments Ein nummeriertes Dokument der Reihe, in der die technischen Standards und Verfahren des Internets festgehalten werden. Vollständige Definition 4033 (März 2005) legt fest, was DNSSEC leistet: den Nachweis von Herkunft und Unversehrtheit der DNS-Daten. Es bietet keine Vertraulichkeit, die Antworten bleiben also lesbar, und keinen Schutz vor Denial-of-Service-Angriffen. Es deckt nur DNS-Antworten ab, nicht Phishing Das Vortäuschen einer vertrauenswürdigen Identität, um Daten zu stehlen, oft mit ähnlich aussehenden Domains. Vollständige Definition oder die Übernahme eines Registrar-Kontos Ein Angreifer übernimmt das Konto eines Kunden bei einem Registrar und damit dessen Domains. Vollständige Definition. RFC 9364 (Februar 2023) bezeichnet DNSSEC als Best Current Practice für die Authentifizierung von DNS-Daten; ob es für eine Domain genutzt wird, entscheidet der Inhaber.

Wie die Vertrauenskette von der Root bis zur eigenen Domain funktioniert

Ein validierender Resolver beginnt bei einem Schlüssel, dem er bereits vertraut: dem Vertrauensanker Schlüssel, dem ein DNSSEC-Resolver von vornherein vertraut, normalerweise der Schlüssel der Root-Zone. Vollständige Definition (Trust Anchor), also dem Key Signing Key der Root-Zone Die oberste Ebene des DNS, die alle TLDs und ihre Nameserver auflistet. Vollständige Definition, den die IANA Internet Assigned Numbers Authority Die Funktionen, die die Root-Zone, die IP-Adressen und die Protokollnummern koordinieren. Vollständige Definition veröffentlicht. Von dort folgt er einer Kette:

  1. Die Root-Zone enthält einen signierten DS-Record Delegation Signer Ein DNS-Record in der übergeordneten Zone, der den DNSSEC-Schlüssel einer Domain mit der Vertrauenskette verbindet. Vollständige Definition für .com.
  2. Dieser DS-Record passt zu einem Schlüssel in der .com-Zone, mit dem der Resolver die Records von .com prüfen kann, einschließlich des DS-Records für example.com.
  3. Dieser DS-Record passt zum Schlüssel von example.com, mit dem die eigenen Records der Domain geprüft werden.

Eine signierte Zone, für die die übergeordnete Zone keinen DS-Record enthält, ist eine „Sicherheitsinsel“ (Island of Security): Sie lässt sich nicht von der Root aus validieren.

Eine Antwort ist sicher (secure), wenn jede Signatur stimmt, unsicher (insecure), wenn ein signierter Nachweis zeigt, dass die übergeordnete Zone keinen DS-Record für die Zone enthält, und fehlerhaft (bogus), wenn erwartete Signaturen fehlen, abgelaufen oder unbrauchbar sind (RFC 4033). Bei einer fehlerhaften Antwort liefert der Resolver normalerweise einen Fehler, SERVFAIL Server Failure Die DNS-Antwort, die bedeutet, dass die Abfrage gescheitert ist, oft wegen defekter Nameserver oder DNSSEC-Fehlern. Vollständige Definition (RFC 4035).

Schlüssel und Records: KSK, ZSK, DNSKEY, DS und RRSIG

  • DNSKEY-Record Ein DNS-Record mit einem öffentlichen Schlüssel, mit dem die DNSSEC-Signaturen einer Zone geprüft werden. Vollständige Definition-Records veröffentlichen die öffentlichen Schlüssel einer Zone.
  • RRSIG Resource Record Signature Der DNS-Record, der eine DNSSEC-Signatur für eine Gruppe von Records enthält. Vollständige Definition-Records enthalten die Signaturen, jede nur zwischen einem Anfangs- und einem Ablaufdatum gültig.
  • DS-Records stehen in der übergeordneten Zone und enthalten einen Key Tag, eine Algorithmusnummer und einen Hashwert (Digest) des Schlüssels der untergeordneten Zone.
  • Der KSK Key Signing Key Der DNSSEC-Schlüssel, der den Schlüsselsatz einer Zone signiert und auf den die übergeordnete Zone verweist. Vollständige Definition signiert nur die Schlüsselmenge der Zone, und der DS-Record der übergeordneten Zone verweist auf ihn. Der ZSK Zone Signing Key DNSSEC-Schlüssel, der die gewöhnlichen Records einer Zone signiert. Vollständige Definition signiert alles Übrige.

RFC 6781 (Dezember 2012) merkt an, dass Validatoren beide Schlüsselarten gleich behandeln: Die Aufteilung ist betrieblicher Natur, und manche Zonen nutzen einen Schlüssel für beide Rollen.

Der Nachweis, dass ein Name nicht existiert, braucht eigene Records. NSEC nennt den nächsten existierenden Namen, wodurch jeder die ganze Zone auflisten kann („Zone Walking“). NSEC3 (RFC 5155) bildet zuerst Hashwerte der Namen, verrät aber immer noch Einzelheiten wie die Größe der Zone.

DNSSEC einschalten: was Registrar, Registry und DNS-Anbieter jeweils tun

  1. Der DNS-Anbieter signiert die Zone und veröffentlicht DNSKEY- und RRSIG-Records.
  2. Die DS-Daten oder die Schlüsseldaten gehen an den Registrar.
  3. Der Registrar sendet sie per EPP Extensible Provisioning Protocol Das Protokoll, mit dem Registrare Domainnamen bei Registrys verwalten. Vollständige Definition mit der Erweiterung secDNS (RFC 5910, Mai 2010) an die Registry, entweder als DS-Daten oder als Schlüsseldaten, aus denen die Registry den DS-Record erzeugt.
  4. Die Registry veröffentlicht den DS-Record in der TLD-Zone.

Ist der Registrar zugleich DNS-Anbieter, sind die Schritte 1 bis 3 oft eine einzige Einstellung.

Für gTLD generische Top-Level-Domain Eine Top-Level-Domain, die nicht an ein Land gebunden ist und unter Verträgen mit der ICANN betrieben wird. Vollständige Definition verpflichtet das Registrar Accreditation Agreement von 2013 Registrare, Anträge auf Hinzufügen, Entfernen oder Ändern von Schlüsselmaterial an Registrys, die DNSSEC unterstützen, nach RFC 5910 weiterzuleiten. Das Base Registry Agreement (gebilligt am 21. Januar 2024, Stand Oktober 2026 aktuell) verpflichtet gTLD-Registrys, ihre Zonen zu signieren und Schlüsselmaterial von untergeordneten Domains anzunehmen. Für ccTLD länderspezifische Top-Level-Domain Eine Top-Level-Domain für ein Land oder Gebiet, meist zwei Buchstaben lang. Vollständige Definition gelten andere Regeln: beim Registrar oder bei der Registry nachfragen.

Es gibt auch einen automatisierten Weg: Der DNS-Anbieter veröffentlicht CDS- und CDS und CDNSKEY Child DS and Child DNSKEY Records, die eine Zone veröffentlicht, damit die Registry ihre DNSSEC-Daten automatisch aktualisieren kann. Vollständige Definition, die angeben, wie der DS-Record lauten soll, und manche Registrys und Registrare suchen danach. RFC 8078 (März 2017) führte ein Signal zum Abschalten von DNSSEC ein; RFC 9615 (Juli 2024) erlaubt der übergeordneten Zone, diese Records kryptografisch zu prüfen, bevor sie DNSSEC einschaltet.

Was schiefgehen kann: abgelaufene Signaturen, Schlüsselwechsel und Wechsel des DNS-Anbieters

  • Abgelaufene Signaturen. RRSIG-Records, die nicht rechtzeitig erneuert werden, machen Antworten fehlerhaft (bogus).
  • Ein DS-Record ohne passenden Schlüssel. RFC 6781 nennt das „security lameness“: Die Domain fällt für jeden validierenden Resolver aus, und die Korrektur braucht Zeit, bis sie sich durchsetzt. Ein KSK-Wechsel braucht deshalb den neuen DS-Record in der übergeordneten Zone, bevor der alte Schlüssel entfernt wird.
  • Wechsel des DNS-Anbieters. Der bisherige Betreiber kontrolliert die Schlüssel. Die beste Methode ist ein abgestimmter Schlüsselwechsel (Key Rollover Der geplante, schrittweise Austausch eines DNSSEC-Signaturschlüssels. Vollständige Definition). Wirkt der bisherige Betreiber nicht mit, wird der DS-Record entfernt, die Nameserver Ein Server, der die DNS-Records einer Domain vorhält und Abfragen beantwortet. Vollständige Definition werden gewechselt, und sobald sich das durchgesetzt hat, wird der neue DS-Record hinzugefügt. Dazwischen ist die Domain unsigniert, was RFC 8078 Validierungsfehlern vorzieht. Kurze TTL Time to Live Wie lange Resolver eine gespeicherte Kopie eines DNS-Records behalten dürfen. Vollständige Definition helfen.

Fehler zeigen sich als SERVFAIL für Nutzer validierender Resolver, während die Domain für alle anderen weiter funktionieren kann.

An der Root plant die ICANN Internet Corporation for Assigned Names and Numbers Die gemeinnützige Organisation, die das weltweite DNS und die gTLD-Policy koordiniert. Vollständige Definition, Stand 9. Oktober 2026, den Root-KSK am 11. Oktober 2026 zu ersetzen: KSK-2024 (Key Tag 38696) löst KSK-2017 (Key Tag 20326) ab, der am 11. Januar 2027 widerrufen und am 22. März 2027 entfernt werden soll. Das betrifft die Betreiber validierender Resolver, die den neuen Vertrauensanker brauchen, nicht die Domaininhaber Die Person oder Organisation, auf die ein Domainname registriert ist. Vollständige Definition.

DNSSEC und verschlüsseltes DNS: der Unterschied

DNSSEC signiert die Daten, sodass jeder Resolver sie prüfen kann, aber alles bleibt lesbar. DNS over TLS Transport Layer Security Standard, der Verbindungen zwischen einem Browser oder einer App und einem Server verschlüsselt. Vollständige Definition (DoT DNS over TLS DNS-Abfragen über eine mit TLS verschlüsselte Verbindung auf einem eigenen Port. Vollständige Definition) und DNS over HTTPS Hypertext Transfer Protocol Secure Die verschlüsselte Version des Protokolls, mit dem Webbrowser Seiten laden. Vollständige Definition (DoH DNS over HTTPS DNS-Abfragen, die in verschlüsselten HTTPS-Verbindungen übertragen werden. Vollständige Definition) verschlüsseln die Verbindung zwischen dem Gerät eines Nutzers und dem Resolver, was die Privatsphäre schützt, beweisen aber nicht, dass die Daten vom Inhaber der Zone stammen. Beides ergänzt sich.

Quellen

verwandte begriffe