DNSSEC (DNS Security Extensions) ist die Erweiterung, die DNS-Antworten unterschreibt und damit fälschungssicher macht. Ohne sie lässt sich eine Antwort unterwegs austauschen, ohne dass es jemand bemerkt.
- DNSSEC (DNS Security Extensions)
Die Erweiterung, die DNS-Antworten unterschreibt und damit fälschungssicher macht.
Beispiel: „Mit DNSSEC fiel der untergeschobene Eintrag beim Resolver durch, weil die Unterschrift nicht passte.“Die Unterschriften stehen als eigene Einträge in der Zone. Die Endung hinterlegt dazu einen Fingerabdruck des Schlüssels, und so entsteht eine Kette von der Wurzel bis zur Domain.
Abgrenzung zur Verschlüsselung: DNSSEC macht Antworten prüfbar und nicht geheim. Wer mitliest, sieht weiterhin jede Anfrage.
Wie die Kette bei DNSSEC aufgebaut ist
Von oben nach unten. Die Wurzel unterschreibt die Endungen, die Endung unterschreibt den Schlüssel der Domain, und die Domain unterschreibt ihre eigenen Einträge; jeder Schritt bestätigt den nächsten.
Bricht ein Glied, gilt die ganze Kette als ungültig, und ein prüfender Resolver liefert gar keine Antwort mehr. Das macht die Sache sicher und unversöhnlich.
Was DNSSEC schützt
Den Weg zwischen den Servern. Ein untergeschobener Eintrag, mit dem Besucher auf einen fremden Server geleitet werden, fällt bei der Prüfung durch; dieser Angriff ist der Grund, warum es die Erweiterung gibt.
Nicht geschützt ist die Strecke zum Nutzer, wenn dessen Resolver nicht prüft, und nicht geschützt ist eine Zone, in die jemand mit gestohlenem Zugang schreibt.
Was DNSSEC kostet
Sorgfalt bei Umzügen. Wer die Nameserver wechselt und die Schlüssel nicht sauber übergibt, nimmt die Domain für alle prüfenden Resolver vom Netz, und das sind in manchen Ländern die meisten.
Deshalb gehört zu jedem Wechsel mit aktiver Absicherung ein eigener Ablauf: Absicherung abschalten, warten, umziehen, neu einrichten, siehe DNS-Umzug.