Was ist DNSSEC?

Einfach erklärt

Das DNS beantwortet Fragen wie „Wo liegt die Website von ihre-firma.de?“. Ursprünglich konnte niemand prüfen, ob eine solche Antwort echt ist. Wer sie fälscht, leitet Besucher auf eine nachgebaute Seite oder Mails auf einen fremden Server um. DNSSEC setzt auf jede Antwort ein Echtheitssiegel, eine digitale Signatur. Prüfende Server verwerfen Antworten, deren Siegel nicht stimmt.

Was Sie tun können

Bei vielen Anbietern lässt sich DNSSEC mit einem Schalter einschalten, die Schlüssel verwaltet dann der Anbieter. Fragen Sie den Anbieter Ihrer Domain, ob er das anbietet.

Achtung: Beim Wechsel des Domainanbieters muss DNSSEC sauber übergeben werden. Bleibt das alte Siegel hinterlegt, passt es nicht zu den Schlüsseln des neuen Anbieters, und Website und Mail sind für viele Nutzer gar nicht mehr erreichbar. Sagen Sie bei jedem Umzug dazu, dass DNSSEC aktiv ist.

Was DNSSEC nicht kann

DNSSEC verschlüsselt nichts. Jeder kann weiterhin sehen, welche Namen abgefragt werden. Es sorgt nur dafür, dass die Antworten echt sind. Und es schützt nur bei Servern, die die Siegel auch prüfen.

Vertrauenskette

DNSSEC nach RFC 4033 bis 4035 signiert jedes RRset einer Zone. Die Signaturen stehen in RRSIG-Einträgen, die öffentlichen Schlüssel in DNSKEY. Üblich sind zwei Schlüsselrollen: der Key Signing Key (KSK) signiert die Schlüsselmenge, der Zone Signing Key (ZSK) die übrigen Daten. Ein Hash des KSK steht als DS-Eintrag in der übergeordneten Zone, bei .de bei der DENIC. So entsteht eine Kette von der Wurzel bis zur Domain.

ihre-firma.de.  3600  IN  DS  12345 13 2 3B1F…E9A0

Die Felder sind Key Tag, Algorithmus (13 = ECDSA P-256 mit SHA-256) und Digest-Typ (2 = SHA-256).

Ein validierender Resolver prüft die Kette. Scheitert sie, antwortet er mit SERVFAIL, die Domain ist für seine Nutzer dann nicht auflösbar. Nicht existierende Namen beweist die Zone mit NSEC oder NSEC3.

Typische Fehler

• Veralteter DS-Eintrag nach Anbieter- oder Schlüsselwechsel. Häufigste Ursache für komplette Ausfälle.
• Abgelaufene Signaturen. RRSIG haben ein Ablaufdatum. Signiert der Nameserver nicht automatisch nach, bricht die Zone zu einem festen Zeitpunkt.
• Schlüsselwechsel ohne Übergangszeit. Der neue DS-Eintrag muss in den Caches sein, bevor der alte Schlüssel verschwindet.
• Nur ein Teil der Nameserver signiert. Je nach befragtem Server schlägt die Prüfung fehl.

Grundlage für mehr

Mit DNSSEC werden Verfahren wie DANE möglich, das Zertifikate von Mailservern über TLSA-Einträge im DNS absichert (RFC 7672), als Alternative zu MTA-STS.

Prüfen

dig +short DS ihre-firma.de
dig +dnssec ihre-firma.de SOA
delv ihre-firma.de A

delv prüft die Kette selbst und meldet fully validated oder den Grund des Fehlers. Für eine grafische Prüfung eignet sich DNSViz.