DNS und Domains
DNSSEC
Kryptografische Signaturen auf DNS-Records mit einer Vertrauenskette von der Root, damit ein Resolver eine gefälschte Antwort von der echten unterscheiden kann.
DNS-Antworten sind standardmäßig nicht signiert: Ein Resolver muss glauben, was zurückkommt, und eine gefälschte Antwort schickt alle hinter diesem Resolver auf den falschen Server. DNSSEC ergänzt die Records um Signaturen und eine Vertrauenskette. Die Root bürgt für .lu, .lu bürgt über einen DS-Record für Ihre Zone, und die Schlüssel Ihrer Zone signieren jeden Record.
Ein validierender Resolver (heute die meisten öffentlichen und die meisten ISP-Resolver) prüft die Kette und verwirft Antworten, deren Signaturen nicht passen. Er schlägt geschlossen fehl: Eine Zone, deren DS-Record auf einen Schlüssel zeigt, der nicht in der Zone ist, liefert für alle hinter einem validierenden Resolver SERVFAIL, und genau das passiert, wenn eine Domain den DNS-Anbieter wechselt und der alte DS noch bei der Registry liegt.
DNSSEC belegt Echtheit, nicht Vertraulichkeit; es verschlüsselt nichts. Es ist die Grundlage für DANE und der Grund, warum Records wie CAA überhaupt vertrauenswürdig sind. Schalten Sie es ein, wenn Ihr DNS-Anbieter automatisch signiert und Schlüssel wechselt; entfernen Sie den DS, bevor Sie den DNS-Anbieter wechseln.