DNSSEC-Prüfung
Wir fragen die DS-Einträge in der übergeordneten Zone, den DNSKEY-Satz der Zone und seine Signaturen ab und fragen einen validierenden Resolver, ob die Antwort validiert.
DNSSEC lässt einen Resolver prüfen, ob eine DNS-Antwort wirklich vom Inhaber der Zone stammt. Es funktioniert als Vertrauenskette: Die übergeordnete Zone (etwa .fi oder .de) veröffentlicht einen DS-Eintrag, einen Fingerabdruck des Key-Signing-Keys der Zone; die Zone veröffentlicht ihre Schlüssel als DNSKEY und signiert ihre Daten mit RRSIG-Einträgen; ein validierender Resolver folgt der Kette von der Wurzel abwärts und setzt das AD-Flag bei Antworten, die er prüfen konnte.
Die Prüfung fragt die DS-Einträge der übergeordneten Zone, den DNSKEY-Satz und seine Signaturen ab und fragt unseren Resolver, ob die Antwort validiert wurde. Außerdem prüft sie, ob der Key-Tag eines DS-Eintrags zu einem Schlüssel der Zone passt – die häufigste Bruchstelle beim Schlüsselwechsel oder Umzug zu einem neuen DNS-Anbieter.
Eine unsignierte Domain ist nicht kaputt; sie ist nur nicht gegen gefälschte Antworten geschützt.
Häufig gestellte Fragen
Was bedeutet „signiert, aber nicht validierend“?
Die übergeordnete Zone veröffentlicht DS-Einträge, aber der Resolver hat die Signaturen der Zone nicht akzeptiert. Validierende Resolver antworten dann mit SERVFAIL, die Domain kann für deren Nutzer verschwinden. Häufige Ursache: ein DS-Eintrag, der nach dem Umzug zu einem DNS-Anbieter mit anderen Schlüsseln stehen blieb.
Brauche ich DNSSEC?
Es schützt vor gefälschten DNS-Antworten (Cache Poisoning) und ist Voraussetzung für Mechanismen wie DANE. DNS-Anbieter und Registrar müssen es beide unterstützen.
Warum betrifft das Ergebnis für www.example.com example.com?
DNSSEC wird pro Zone eingerichtet. Ein Hostname innerhalb einer Zone wird von deren Schlüsseln abgedeckt, daher berichtet die Prüfung über die Zone, die den Namen enthält.