DNSSEC
DNS Security Extensions: digitale Signaturen auf DNS-Einträgen, mit denen Resolver prüfen können, dass eine Antwort vom Inhaber der Zone stammt und nicht verändert wurde.
Was es bedeutet
Mit DNSSEC signiert eine Zone ihre Einträge (RRSIG), veröffentlicht ihre öffentlichen Schlüssel (DNSKEY) und lässt einen Hash ihres Schlüssels (DS) in der übergeordneten Zone hinterlegen. Validierende Resolver folgen der Vertrauenskette von der Root aus und verwerfen gefälschte oder veränderte Antworten. RFC 4033 hält fest, dass es Herkunftsauthentifizierung und Integrität bietet, keine Vertraulichkeit.
Für E-Mail ist es die Grundlage von DANE: TLSA-Records zählen nur, wenn DNSSEC sie validiert, und REQUIRETLS akzeptiert einen DNSSEC-signierten MX als Nachweis des richtigen Servers. Außerdem schützt es MX-, SPF- und DKIM-Einträge vor gefälschten DNS-Antworten.
Zum Aktivieren braucht es Ihren DNS-Host (Signieren) und Ihren Registrar (Veröffentlichen des DS). Passen die beiden nach einem Host-Wechsel nicht zusammen, ist die Domain für validierende Resolver nicht mehr auflösbar, planen Sie Umzüge also sorgfältig.
Verwandte Begriffe
Auf dieser Website
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
- RFC 4033: DNS Security Introduction and Requirementsrfc-editor.org
- ICANN: DNSSEC, what is it and why is it importanticann.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes