ICANN bittet um Kommentare zu Sicherheitsregeln für die Automatisierung von DNSSEC-DS-Records
in einfachen worten
ICANN, die Organisation, die die Namen im Internet mit beaufsichtigt, möchte Rückmeldungen zu Regeln, nach denen ein wichtiger Sicherheitsverweis in Domainnamen automatisch aktualisiert wird. Dieser Verweis heißt DS-Record und hilft zu belegen, dass eine Domain echt ist. Falsche Änderungen könnten eine Website unerreichbar machen. Deshalb bittet ICANN die Branche, die Schutzmaßnahmen zu prüfen.
Ausführliche Zusammenfassung
ICANN Internet Corporation for Assigned Names and Numbers Die gemeinnützige Organisation, die das weltweite DNS und die gTLD-Policy koordiniert. Vollständige Definition von ICANN hat eine öffentliche Konsultation zu den Sicherheits- und Stabilitätsanforderungen für die Automatisierung der Verwaltung von DNSSEC-DS-Records (Delegation Signer) eröffnet. Die Konsultation startete am 12. Oktober, Kommentare sind bis zum 23. November 2026 um 23:59 UTC einzureichen. ICANN hat die Zusammenfassung der öffentlichen Kommentierung für den 7. Dezember 2026 angesetzt.
DS-Record Delegation Signer Ein DNS-Record in der übergeordneten Zone, der den DNSSEC-Schlüssel einer Domain mit der Vertrauenskette verbindet. Vollständige Definition von DS-Record verbinden eine signierte Domain mit ihrer übergeordneten Zone und ermöglichen es Resolvern mit DNSSEC-Validierung Die Prüfung eines Resolvers, ob eine DNS-Antwort korrekt mit DNSSEC signiert ist. Vollständige Definition von DNSSEC-Validierung, DNS-Antworten zu prüfen. Damit diese Einträge aktuell bleiben, müssen DNS-Betreiber, Registrar Ein Unternehmen, das Domainnamen im Auftrag von Kunden bei der Registry registriert. Vollständige Definition von Registrar und Registry-Betreiber Die Organisation, die den Vertrag oder das Mandat für eine TLD hält und deren Regeln festlegt. Vollständige Definition von Registry-Betreiber häufig zusammenarbeiten, besonders wenn kryptografische Schlüssel wechseln oder ein DNS-Anbieter Ein Unternehmen, das die Nameserver einer Domain betreibt und nicht der Registrar sein muss. Vollständige Definition von DNS-Anbieter ersetzt wird. Automatisierung könnte diesen manuellen Aufwand verringern. Fehlerhafte oder verfrühte Änderungen können jedoch die DNSSEC-Validierung stören und Domains für Nutzer unerreichbar machen, deren Resolver Antworten validieren.
Die Prüfung soll einen beschleunigten Registry Services Evaluation Process (RSEP Registry Services Evaluation Policy Das Verfahren der ICANN zur Genehmigung neuer oder geänderter Dienste einer gTLD-Registry. Vollständige Definition von RSEP) für die Automatisierung von DNSSEC-DS-Records vorbereiten. Nach dem vorgeschlagenen Ansatz könnten qualifizierte Registry-Betreiber die automatische DS-Verwaltung über ein schlankes Prüfverfahren einführen, allerdings nur mit Schutzmaßnahmen. Die Bewertung wurde zusammen mit der Interisle Consulting Group erstellt und behandelt Automatisierungsmechanismen, die in den RFC Request for Comments Ein nummeriertes Dokument der Reihe, in der die technischen Standards und Verfahren des Internets festgehalten werden. Vollständige Definition von RFC 7344, 8078, 9615, 9975 und 10026 beschrieben sind.
Die Arbeit folgt auf einen Vorstandsbeschluss Eine formelle, veröffentlichte Entscheidung des ICANN-Vorstands. Vollständige Definition von Vorstandsbeschluss vom September 2025, Empfehlungen seines Security and Stability Advisory Committee (SSAC Security and Stability Advisory Committee Expertenausschuss der ICANN für die Sicherheit und Stabilität der Namens- und Adresssysteme. Vollständige Definition von SSAC) zu übernehmen. Diese Empfehlungen, veröffentlicht in SAC126, forderten, die automatische Verwaltung von DS-Records zu ermöglichen und zugleich die betrieblichen und sicherheitsrelevanten Risiken zu adressieren.
ICANN fragt, ob die Prüfung Sicherheits- und Stabilitätsprobleme angemessen erfasst und ob die vorgeschlagenen Anforderungen und Empfehlungen verhältnismäßig und praxistauglich sind. Die Konsultation richtet sich an Registry-Betreiber, DNS-Anbieter und Betreiber von Resolvern. Sie sollen Fehlerszenarien prüfen, darunter inkonsistente DS-Aktualisierungen, gescheiterte Schlüsselwechsel und den Umgang mit Authentifizierungsfehlern.
ICANN erklärt, dass eine separate Konsultation die Umsetzungsformulierungen behandeln wird. Entwürfe für Änderungen am Standard für das beschleunigte Verfahren sollen in einem späteren Verfahren veröffentlicht werden. Nach Ende der aktuellen Konsultation will ICANN die Eingaben auswerten, die Bewertung bei Bedarf überarbeiten und einen Nachtrag mit Antworten auf das Feedback veröffentlichen.