Glossar · DNS
DNSSEC
DNSSEC ist die Signaturschicht des DNS: Jede autoritative Antwort trägt eine kryptografische Signatur, mit der nachgeprüft werden kann, dass sie unverändert von der zuständigen Quelle stammt.
So funktioniert es
DNSSEC signiert, was das DNS sagt. Die Zone trägt Signaturen über ihre Einträge, und ein Prüfer rechnet nach: Stimmt die Signatur, stammt die Antwort unverändert von der Quelle. Die Zuständigkeit wird von Zone zu Zone weitergereicht: Die Mutterzone verzeichnet den Schlüssel der Tochter, so reicht die Kette der Prüfung bis zur Wurzel des Namensraums. Signaturen verfallen, die Zone wird regelmäßig neu signiert.
Getrennt wird nach Aufgabe: Der Zonensignaturschlüssel (ZSK) signiert die Einträge und wechselt oft, der Schlüsselsignaturschlüssel (KSK) steht darüber und wechselt selten. Sein Fingerabdruck liegt als DS-Eintrag in der Mutterzone, sodass die Kette von der Wurzel bis zum Namen lückenlos prüfbar ist. Wechselt ein Schlüssel, überlappen sich alter und neuer, bis kein Prüfer mehr den alten braucht.
Warum es wichtig ist
Ohne DNSSEC ist eine DNS-Antwort Wort ohne Beglaubigung: Was auf dem Weg verändert wurde, fällt nicht auf. Mit DNSSEC kann ein Resolver nachrechnen, bevor er eine Antwort weitergibt. Die Signatur schützt die Übersetzung, nicht den Dienst dahinter; sie macht den Anker des Netzes verlässlich.
Was DNSSEC nicht leistet, bleibt Aufgabe anderer: Es verschlüsselt nichts, Anfragende und Antwort lesen unterwegs mit, und gegen Überlast schützt keine Signatur. Wer Vertraulichkeit braucht, legt verschlüsselten Transport darüber; wer Verfügbarkeit braucht, verteilt Server. DNSSEC löst genau ein Problem, und das gründlich: die Frage, ob die Antwort stimmt.
Bei obhut
DNSSEC gehört zum Angebot. Die Zone wird am Primary signiert, die Signaturen wandern mit dem Zonentransfer nach draußen. Auch die SOA der delegierten Zonen trägt unsere Namen.
Wer die Zone bei obhut führt, bekommt die Signatur dazu, nicht als Zusatz.