Was ist DNSSEC?
Verstehen Sie die Authentifizierung von DNS-Antworten, ihre Vertrauenskette und ihre Grenzen.
DNSSEC ergänzt DNS-Daten um digitale Signaturen, damit ein validierender Resolver prüfen kann, ob eine Antwort authentisch ist und während der Übertragung nicht verändert wurde. Bei korrekter Einrichtung schützt es die Integrität von DNS-Antworten. Es verschlüsselt keine DNS-Abfragen, verbirgt keine Browseraktivitäten und ersetzt für eine Website nicht HTTPS.
So funktioniert die Validierung
Eine signierte Zone veröffentlicht Signaturen und DNSKEY-Daten. Eine Vertrauenskette verbindet die übergeordnete mit der untergeordneten Zone, üblicherweise über einen DS-Eintrag in der übergeordneten Zone. Ein validierender Resolver prüft diese Kette, bevor er eine signierte Antwort akzeptiert. Sind Signaturen oder Verknüpfungen falsch, kann die Validierung fehlschlagen, obwohl der zugrunde liegende A- oder MX-Wert plausibel aussieht.
Deshalb sind bei der Einrichtung sowohl Registrar als auch DNS-Anbieter wichtig: Der DNS-Anbieter signiert die Zone, und die DS-Informationen auf Seiten der übergeordneten Zone müssen dazu passen. Ein veralteter DS-Eintrag nach einem Anbieterwechsel kann dazu führen, dass eine Domain für validierende Resolver unerreichbar wirkt.
Was DNSSEC nicht löst
DNSSEC authentifiziert DNS-Daten; es beweist nicht, dass der in der Antwort genannte Server sicher oder dessen Webinhalt wahrheitsgemäß ist. Auch schützt es kein Registrar-Konto. HTTPS-Zertifikate und Transportverschlüsselung lösen andere Probleme. DNS over HTTPS kann die Verbindung zu einem Resolver verschlüsseln, validiert für sich allein aber nicht die signierte DNS-Kette.
Eine nicht signierte Domain ist nicht zwangsläufig kompromittiert. Ob DNSSEC aktiviert werden sollte, hängt von der Unterstützung des Anbieters und der Fähigkeit ab, Schlüssel und Delegierung korrekt zu pflegen.
Praktische Prüfungen
Folgen Sie bei der Aktivierung den Anweisungen Ihres DNS-Anbieters, veröffentlichen Sie beim Registrar den passenden DS-Eintrag und testen Sie die Validierung, bevor Sie den alten Anbieter außer Betrieb nehmen. Prüfen Sie nach jeder Nameserver- oder Schlüsseländerung, ob DS und DNSKEY weiterhin übereinstimmen. Verwenden Sie /whois für den sichtbaren DNS-Kontext, aber einen speziellen validierenden Resolver oder ein Diagnosewerkzeug, um die Vertrauenskette zu bestätigen. Der Leitfaden zu DNS-Einträgen ordnet die zugehörigen Eintragstypen ein.
Quellen
Abfrage ausprobieren
Prüfen Sie eine Domain, um aktuelle Registrierungs- und DNS-Daten zu sehen.
Domain prüfen