DNS & Domain

Was ist DNSSEC? Domain Name System Security Extensions erklärt

DNSSEC signiert DNS-Antworten kryptografisch. Resolver erkennen so gefälschte Antworten, etwa durch DNS-Spoofing oder Cache-Poisoning. DNSSEC ist außerdem Voraussetzung für DANE.

So funktioniert DNSSEC

Die Zone wird mit einem Schlüssel signiert; zu jedem Eintrag gibt es eine Signatur (RRSIG), die öffentlichen Schlüssel stehen im DNSKEY-Record. Damit Resolver diesen Schlüsseln vertrauen, hinterlegt der Registrar einen DS-Record mit einem Hash des Schlüssels bei der Registry.

So entsteht eine Vertrauenskette von der Root-Zone über die Endung (z. B. .de) bis zur Domain. Ein validierender Resolver prüft jede Antwort und kennzeichnet erfolgreich geprüfte Antworten mit dem AD-Flag; gefälschte Antworten verwirft er.

Empfohlen ist der Algorithmus 13 (ECDSAP256SHA256). Auf SHA-1 basierende Algorithmen (5 und 7) gelten als veraltet.

Beispiel

example.com.  DS      12345 13 2 3f1a…9c2e
example.com.  DNSKEY  257 3 13 mdsswUyr3DPW…

Der DS-Record liegt bei der Registry, DNSKEY und Signaturen in der eigenen Zone.

Typische Fehler

Nach einem Anbieterwechsel bleibt der alte DS-Record bei der Registry – die Domain ist für validierende Resolver dann nicht mehr auflösbar.
Signaturen laufen ab, weil die Zone nicht automatisch neu signiert wird.
Veraltete Algorithmen wie RSASHA1 (5).

So bewertet der Domain Trust Check DNSSEC

Kriterium „DNSSEC“ (Gewicht 5 von 5): DS-Record beim Registrar, DNSKEY in der Zone, erfolgreiche Validierung (AD-Flag) und ein moderner Signaturalgorithmus.

Standard: RFC 4033, RFC 4034, RFC 4035