bk99.de entertain the web since 1997

bk99.de
CLT · PraxiswissenKuratiert

DNSSEC: sichere Namensauflösung im Internet

Zusammenfassung

Heiko Schlittermann, IT-Dienstleister aus Dresden, erklärte bei den Chemnitzer Linux-Tagen 2010 DNSSEC, die Sicherheitserweiterung des Domain Name System. DNS übersetzt Namen in IP-Adressen und ist damit ein Fundament des Internets. DNSSEC stellt sicher, dass DNS-Antworten echt und unverändert sind.

Warum DNS abgesichert werden muss

Das klassische DNS prüft nicht, ob eine Antwort wirklich vom zuständigen Server stammt. Ein Angreifer, der gefälschte Antworten einschleust, kann Nutzer unbemerkt auf falsche Server umleiten. 2008 zeigte Dan Kaminsky, wie sich solche Fälschungen in die Zwischenspeicher von Resolvern einschleusen lassen, was den Druck für DNSSEC deutlich erhöhte.

DNSSEC versieht DNS-Einträge mit digitalen Signaturen. Ein Resolver kann die Kette der Signaturen von der Wurzelzone über die Top-Level-Domain bis zum einzelnen Eintrag prüfen und gefälschte Antworten verwerfen.

Was daraus wurde

Im Juli 2010, wenige Monate nach dem Vortrag, wurde die DNS-Wurzelzone erstmals signiert. Die Domain .de folgte 2011. Heute prüfen viele große Resolver DNSSEC, doch nur ein Teil der Domains ist signiert. DNSSEC ist außerdem die Grundlage für DANE, mit dem sich etwa die Zertifikate von Mailservern über DNS absichern lassen.

Ideen

  • Digitale Signaturen machen DNS-Antworten überprüfbar.
  • Eine Vertrauenskette führt von der Wurzelzone bis zum einzelnen Eintrag.
  • Resolver verwerfen Antworten, deren Signatur nicht stimmt.

Einsichten

  • Grundlegende Internetprotokolle wurden ohne Schutz gegen Fälschung entworfen.
  • Sichtbare Angriffe beschleunigen die Einführung von Schutzmaßnahmen.

Fakten

  • Die DNS-Wurzelzone wurde im Juli 2010 signiert.
  • Die Domain .de ist seit 2011 mit DNSSEC signiert.
  • Der Vortrag setzte Grundkenntnisse über Netzwerke und das Internet voraus.

Referenzen

Bemerkungen

  • DNSSEC schützt die Echtheit von DNS-Antworten, verschlüsselt sie aber nicht; dafür gibt es DNS over TLS oder HTTPS.

Empfehlungen

  • Signiere eigene Domains mit DNSSEC, wenn dein DNS-Anbieter das unterstützt, und überwache den Ablauf der Signaturen.
  • Nutze einen validierenden Resolver, etwa Unbound, im eigenen Netz.

Programmpunkt öffnen →

Im Webarchiv suchen

CLT · 2026

Vanilla Linux auf einem 100-Gbit/s-Router

Benedikt Heine, Head of Infrastructure bei der 3Q GmbH, berichtete bei den Chemnitzer Linux-Tagen 2026, wie die Firma Mellanox-Switches mit normalem Linux als Router für 100 Gbit/s einsetzt. Möglich macht das switchdev, mit dem der Linux-Kernel die Schaltlogik direkt auf den Switch-Chip auslagert. Das Ergebnis: voller Linux-Support, lange Softwarepflege, kein weiterer Netzwerkhersteller zum Lernen und keine Lizenzkosten.

CLT · 2025

Energiewende zu Hause: Open Source ohne Cloud

Daniel Schreiber vom Universitätsrechenzentrum der TU Chemnitz zeigte bei den Chemnitzer Linux-Tagen 2025, wie man die Energiewende zu Hause mit Open Source und ohne Cloud umsetzt. Freie Projekte decken das Messen der Stromerzeugung, die Speicherung, das Steuern von Verbrauchern und die Optimierung des Strombezugs ab und arbeiten gut zusammen. Anders als die meisten Herstellerlösungen funktioniert das auch ohne Cloud und mit Geräten verschiedener Hersteller.

CLT · 2024

Proxmox VE und Proxmox Backup Server

Jonas Sterr von der Thomas-Krenn.AG stellte bei den Chemnitzer Linux-Tagen 2024 Proxmox VE und den Proxmox Backup Server vor. Der Weg führte vom einzelnen Server über Cluster bis zur Hochverfügbarkeit, mit einer Live-Vorführung eines Clusters aus drei Proxmox-Knoten mit Ceph. Dazu kamen Ausbauvarianten und Benchmarks für Ceph sowie Erfahrungen aus dem Einsatz bei Kunden.