ICANN erinnert Resolver-Betreiber: neuer DNSSEC-Vertrauensanker vor Schlüsselwechsel prüfen

ICANN hat Betreiber von Resolvern mit DNSSEC-Validierung (Glossar)DNSSEC-Validierung Die Prüfung eines Resolvers, ob eine DNS-Antwort korrekt mit DNSSEC signiert ist. Vollständige Definition von DNSSEC-Validierung an den bevorstehenden Key Rollover (Glossar)Key Rollover Der geplante, schrittweise Austausch eines DNSSEC-Signaturschlüssels. Vollständige Definition von Key Rollover der Root-Zone (Glossar)Root-Zone Die oberste Ebene des DNS, die alle TLDs und ihre Nameserver auflistet. Vollständige Definition von Root-Zone erinnert. Dieser ist für den 11. Oktober 2026 geplant. Dabei wird der kryptografische Schlüssel, mit dem die Root-Zone des DNS (Glossar)DNS Domain Name System Das Verzeichnis des Internets, das Domainnamen mit Computeradressen verknüpft. Vollständige Definition von DNS signiert wird, durch einen neuen Schlüssel namens KSK-2024 mit dem Key Tag 38696 ersetzt.

ICANN riet Resolver-Betreibern, selbst zu prüfen, ob KSK-2024 bereits in ihrem Vertrauensanker (Glossar)Vertrauensanker Schlüssel, dem ein DNSSEC-Resolver von vornherein vertraut, normalerweise der Schlüssel der Root-Zone. Vollständige Definition von Vertrauensanker hinterlegt ist, statt sich darauf zu verlassen, dass automatische Aktualisierungsmechanismen dies bereits erledigt haben. Vertrauensanker sind die kryptografischen Referenzpunkte, mit denen validierende Resolver (Glossar)Resolver Der DNS-Server, der Domainnamen im Auftrag der Nutzer auflöst. Vollständige Definition von Resolver die Echtheit von RRSIG-Signaturen prüfen. Fehlt der aktuelle Schlüssel im Vertrauensanker, kann der Resolver nach dem Key Rollover DNS-Antworten nicht mehr validieren, was zu Validierungsfehlern bei den betroffenen Domainnamen (Glossar)Domainname Ein lesbarer Name im Internet aus Labels, die durch Punkte getrennt sind. Vollständige Definition von Domainname führen kann.

Betreibern, bei denen KSK-2024 fehlt, wurde empfohlen zu prüfen, ob ihre Resolver-Software automatische Aktualisierungen des Vertrauensankers unterstützt. Dieser Mechanismus soll Resolvern erlauben, neue Schlüssel der Root-Zone ohne manuellen Eingriff zu übernehmen. Funktioniert die automatische Aktualisierung nicht oder ist sie nicht aktiviert, sollten Betreiber laut ICANN die Hinweise ihres jeweiligen Softwareanbieters nutzen, um den Vertrauensanker vor dem Stichtag manuell zu aktualisieren.

Der Key Rollover der Root-Zone ist ein wiederkehrender Wartungsprozess zur Absicherung des DNS, der sicherstellt, dass der Schlüssel zur Sicherung der Root-Zone im Zeitverlauf erneuert werden kann. ICANN hat solche Rollovers bereits zuvor durchgeführt und dazu technische Unterlagen und Anleitungen veröffentlicht. Die aktuelle Erinnerung soll sicherstellen, dass Resolver-Betreiber rechtzeitig vor der Umstellung im Oktober 2026 vorbereitet sind, um Störungen der DNSSEC-Validierung für Internetnutzer zu vermeiden, die auf ihre Systeme angewiesen sind.