DNSSEC allgemein: Was ist DNSSEC? Antwort: DNSSEC (Domain Name System Security Extensions) umfasst
sicherheitsbezogene Erweiterungen des DNS-Standards.
Spezifiziert wird DNSSEC u.a. in folgenden RFCs:
RFC4033
RFC4034
RFC4035
DNSSEC ermöglicht es, DNS-Daten (ganze ...
DNSSEC allgemein: Wann hilft DNSSEC? Antwort: DNSSEC stellt sicher, dass die Quelle der DNS-Daten korrekt ist und
dass die Daten während der Übertragung nicht modifiziert wurden.
Es hilft also sicher zu stellen, ...
DNSSEC allgemein: Wie funktioniert DNSSEC? Antwort: DNSSEC fügt dem DNS weitere Arten von Einträgen (Resource-Records)
hinzu, mit denen Signaturen, Schlüssel und Schlüsselverweise im DNS
veröffentlicht werden können.
Die Absicherung einer Zone geschieht ...
DNSSEC allgemein: Ist die Signierung der Root-Zone Voraussetzung für DNSSEC? Antwort: Nein, Vertauensketten können auch in Unterzonen beginnen wenn deren
DNSKEYs im Resolver hinterlegt sind oder aus einem vertrauenswürdigen
Repository bezogen werden. So könnte beispielsweise in der ...
DNSSEC allgemein: Was ist eine DLV? Antwort: DLV steht für "DNSSEC Look-aside Validation" und bezeichnet ein
Repository für Schlüssel, die als vertrauenswürdig eingestuft werden.
Ein solches DLV-Repository kann beliebige Startpunkte im DNS-Baum als ...
DNSSEC im Detail: Welche zusätzlichen DNS Einträge gibt es? Antwort:
DNSKEY (DNSSEC Key): Dient zur Veröffentlichung des
öffentlichen Teils eines DNSSEC-Schlüssels. Dies kann sowohl der
Zone-Signing-Key als auch der Key-Signing-Key sein.
RRSIG (RRSET Signature): ...
DNSSEC im Detail: Was ist ein ZSK, was ist ein KSK? Antwort: Ein ZSK (Zone-Signing-Key) ist ein DNSSEC-Schlüssel, der verwendet
wird, um die Einträge innerhalb einer DNS-Zone zu signieren.
Der KSK (Key-Signing-Key) ist ein DNSSEC-Schlüssel, der ausschließlich
verwendet ...
DNSSEC im Detail: Ist die Unterteilung in ZSK und KSK notwendig? Antwort: Nein, grundsätzlich nicht. Eine Zonensignierung funktioniert auch nur
mit einem Schlüssel ohne weitere Unterteilung in KSK und ZSK.
Allerdings entspräche das Vorgehen nicht den Empfehlungen (RFC4641 ...
DNSSEC im Detail: Warum ist ein regelmäßiger Wechsel der Schlüssel notwendig? Antwort: Wie bei allen Verschlüsselungsverfahren gibt es auch bei der im
DNSSEC verwendeten Public-Key-Kryptografie Angriffsszenarien. Diese
Angriffe benötigen abhängig von der Schlüssellänge eine meist immense
Rechenleistung und ...
DNSSEC im Detail: Welche Schlüssellänge ist sinnvoll? Antwort: Über sinnvolle Schlüssellängen und deren entsprechende
Gültigkeitsdauer gibt es unterschiedliche Meinungen.
So wird z.B. von RFC4641 (DNSSEC Operational Practices) eine
Schlüssellänge zwischen 1024 und 2048 für ...
DNSSEC im Detail: Welche Key-Rollover-Strategien gibt es bei DNSSEC? Antwort: RFC4641
("DNSSEC Operational Practices") beschreibt zwei verschiedene
Strategien:
Pre-Publish
In der Zone wird ein neuer DNSKEY bereits einige Zeit vor Benutzung
veröffentlicht. Zu einem ...
DNSSEC für Internetnutzer: Unterstützt der Zugangsprovider XY DNSSEC? Antwort: Im Rahmen des Testbeds in Deutschland werden von vielen
Zugangsprovidern Tests mit validierenden Resolvern durchgeführt.
Über eine Teilnahme am Testbed kann der Benutzer entscheiden, falls der ...
DNSSEC für Domaininhaber: Kümmert sich mein Domainprovider um die DNSSEC-Signierung? Antwort: Wenn Ihr Domainprovider DNSSEC unterstützt und Sie für Ihre Domain
DNSSEC-Signierung beauftragen, wird sich der Domainprovider
in den meisten Fällen um Schlüsselerzeugung, Signierung der Zonendaten,
Neusignierung ...
DNSSEC für Domaininhaber: Gibt es eine Möglichkeit, die DNSSEC-Schlüssel selbst zu verwalten? Antwort: Alternativ können Sie die Schlüssel selbst verwalten und auf Ihren
eigenen Nameservern signierte Zonen veröffentlichen.
Der Domainprovider erhält die fertig signierten Zonen von Ihren
Nameserven. Sie ...
DNSSEC für Registrare: Wie wird eine Zone signiert? Antwort: Es gibt verschiedene Möglichkeiten eine Zone zu signieren.
Grundsätzlich sollte unterschieden werden, ob die Zone auf dem
Nameserver signiert wird oder im Vorhinein
erzeugt, signiert ...
DNSSEC für Registrare: Wie werden Schlüssel erzeugt? Antwort: Die Schlüsselerzeugung sollte von der von Ihnen verwendeten
DNSSEC-Software geleistet werden. Eine händische Schlüsselerzeugung ist
möglich, es wird
aber davon abgeraten, solange man nicht über tiefergehendes ...
DNSSEC für Registrare: Welche Debug-Möglichkeiten gibt es? Antwort: DNSSEC-Online Tests bieten eine erste Möglichkeit Fehlern auf die Spur zu kommen. So bietet http://dnscheck.iis.se/ eine detailierte Ausgabe von Testergebnisse. Allerdings werden dort die für ...
