Wie funktioniert die DNSSEC-Authentifizierung?

Die DNSSEC-Validierung ist der Vorgang, bei dem ein DNS-Resolver überprüft, ob die empfangene DNS-Antwort tatsächlich aus der Zone der Domain stammt und unterwegs von niemandem verändert wurde. Die Überprüfung erfolgt nicht durch den Browser oder den Computer, sondern durch den rekursiven Resolver, den das Gerät nutzt (beispielsweise den des Internetdienstanbieters oder einen öffentlichen Resolver).

Die DNSSEC-Einträge

Neben den üblichen DNS-Einträgen erscheinen in der signierten Zone einige neue Eintragstypen:

DNSKEY: Die öffentlichen Schlüssel der Zone. In der Regel gibt es zwei: den Zonenschlüssel (KSK), der die Schlüssel signiert, und den Zonensignaturschlüssel (ZSK), der die übrigen Einträge signiert.
RRSIG: die Signatur. Zu jeder Rekordgruppe (beispielsweise zu allen A-Einträgen einer Domain) gehört eine solche Signatur, die mit einer Gültigkeitsdauer versehen ist.
DS (Delegation Signer): Der Fingerabdruck des Signaturschlüssels der Domain, der nicht in der eigenen Zone der Domain, sondern in der übergeordneten Zone, d. h. der TLD-Zone, aufgeführt ist. Dieser wird vom Registrar an die Registry übermittelt.
NSEC oder NSEC3: Mit diesen Einträgen bestätigt die Zone in signierter Form, dass ein gesuchter Name oder Eintrag nicht existiert.

Die Vertrauenskette

Der Zertifikatsaussteller vertraut im Voraus auf einen einzigen Schlüssel: den Root-Zone-Schlüssel (Trust Anchor), der in die Software des Zertifikatsausstellers integriert ist. Von dort aus geht es Schritt für Schritt weiter nach unten:

Der signierte DS-Eintrag in der Root-Zone bestätigt den Schlüssel der TLD (z. B. .hu).
Ein DS-Eintrag in der TLD-Zone, der mit dem TLD-Schlüssel signiert ist, bestätigt den Signaturschlüssel der Domain (z. B. pelda.hu).
Der Schlüssel des Domain-Signaturschlüssels signiert die DNSKEY-Einträge, wodurch auch der Zonensignaturschlüssel authentifiziert wird.
Die Signatur des Zonensignaturschlüssels (RRSIG) bestätigt den angeforderten Eintrag, beispielsweise den A- oder MX-Eintrag der Domain.

Fehlt ein Glied in der Kette oder stimmt es nicht überein, schlägt die Authentifizierung fehl.

Mögliche Ergebnisse der Authentifizierung

Sicher (secure): Die Kette ist von der Root bis zum Eintrag fehlerfrei. Der Aufrufer setzt im Header der Antwort das Kennzeichen „ad“ (authenticated data).
Ungesichert (insecure): Für die Domain liegt kein DS-Eintrag vor, d. h., die Domain nutzt kein DNSSEC. Der Resolver leitet die Antwort ohne Authentifizierung weiter; die Domain funktioniert genauso wie ohne DNSSEC.
Fehlerhaft (bogus): Es ist ein DS-Eintrag vorhanden, doch die Signatur ist ungültig, abgelaufen oder stimmt nicht überein. Der Nameserver leitet die Antwort nicht weiter, sondern meldet einen SERVFAIL-Fehler; die Domain ist daher über diesen Nameserver nicht erreichbar.

Die Signaturen werden vom Zonenverwalter im Voraus bei der Änderung der Einträge erstellt, nicht bei jeder Abfrage. Aus diesem Grund muss die Zone regelmäßig neu signiert werden: Wenn die Signaturen ablaufen, wird die Zone fehlerhaft. Typische Fehler sind im Artikel über durch DNSSEC verursachte Probleme zusammengefasst.

Wie können Sie dies überprüfen?

Ohne Befehlszeile können Sie mit unserem kostenlosen DNSSEC-Prüftool die oben beschriebene Vertrauenskette durchgehen: Es zeigt für jede Zone, von der Root bis zur Domain, die DNSKEY- und DS-Einträge sowie die Signaturen an und markiert, an welchem Glied der Kette die Authentifizierung unterbrochen wird.
dig +dnssec pelda.hu A: In der Antwort erscheint neben dem A-Eintrag auch der RRSIG-Eintrag, und im Header wird das Attribut „ad“ angezeigt, sofern der verwendete Resolver die Authentifizierung bestätigt.
dig DS pelda.hu: Zeigt an, ob in der TLD-Zone ein DS-Eintrag vorhanden ist.
delv pelda.hu: Das Tool des BIND-Pakets führt die Validierung selbst durch und gibt an, ob die Antwort „fully validated“ war.
DNSViz (dnsviz.net) stellt dieselbe Kette grafisch dar.

Was leistet die Authentifizierung nicht?

DNSSEC bestätigt die Authentizität und Integrität der Antworten, verschlüsselt jedoch die Abfragen nicht: Wer den Netzwerkverkehr einsehen kann, sieht weiterhin, welche Domains abgefragt werden. Zur Verschlüsselung des Datenverkehrs zwischen dem Nameserver und dem Endgerät dienen DNS over TLS (DoT) und DNS over HTTPS (DoH); diese ergänzen DNSSEC, ersetzen es jedoch nicht.