DNSSEC: Signierte DNS-Antworten

Kurz: Normales DNS wird ohne Beweis geglaubt. DNSSEC signiert die Antworten, damit man Fälschungen erkennt. Es verschlüsselt nichts, es beweist nur, dass die Antwort echt ist.

Das Problem

Wer einem Resolver eine falsche Antwort unterschiebt (Cache-Vergiftung, Spoofing), lenkt dich auf eine fremde Seite, obwohl du die richtige Adresse getippt hast.

Wie DNSSEC schützt

• Jede Zone hat ein Schlüsselpaar (Asymmetrische Verschlüsselung). Die Zone signiert ihre DNS-Records (Digitale Signatur); die Signatur steht als RRSIG-Eintrag daneben.
• Der öffentliche Schlüssel steht als DNSKEY in der Zone.
• Eine Vertrauenskette reicht von der Wurzel (.) über .de bis zur eigenen Domain: Die übergeordnete Zone trägt einen DS-Eintrag, also den Hash des Schlüssels der Kindzone.
• Ein prüfender Resolver folgt der Kette. Passt etwas nicht, antwortet er mit Fehler statt mit einer Fälschung.

Erkennt man „gibt es nicht”?

Ja: NSEC/NSEC3 beweisen signiert, dass ein Name nicht existiert.

Aktivieren

1. Beim DNS-Anbieter DNSSEC einschalten (er signiert die Zone).
2. Den angezeigten DS-Eintrag beim Domain-Registrar hinterlegen.
3. Mit einem Prüftool kontrollieren. Ein falscher DS macht die Domain für prüfende Resolver unerreichbar, also vorsichtig vorgehen und Schlüsselwechsel planen.

Grenzen

Kein Schutz vor Mitlesen (TLS schützt die Verbindung selbst), und nur wirksam, wenn der Resolver prüft.