Definition Was ist DNSSEC (Domain Name System Security Extensions)?

DNSSEC ist eine Sicherheitserweiterung des DNS. Sie stellt die Integrität und Authentizität der im Domain Name System übertragenen Daten sicher. Die DNS-Informationen werden mithilfe von Schlüsseln digital signiert. So lässt sich verhindern, dass DNS-Antworten manipuliert und Benutzer auf gefälschte Webseiten umgeleitet werden.

DNSSEC ist das Akronym für Domain Name System Security Extensions. Es handelt sich um eine in mehreren RFCs (Requests for Comments) spezifizierte Sicherheitserweiterung für den Informationsaustausch im Domain Name System (DNS), die die Authentizität und die Integrität der im DNS übertragenen Daten sicherstellen soll.

Die für DNSSEC maßgeblichen RFCs sind RFC 4033, RFC 4034, RFC 4035, RFC 5011 und RFC 5155. Eine bereits im Jahr 1999 im RFC 2535 veröffentlichte und mittlerweile obsolete erste Version der Domain Name System Security Extensions war aufgrund einiger Schwachstellen des Standards nicht sinnvoll einsetzbar. Die im Jahr 2005 veröffentlichten Nachfolge-RFCs beseitigten die Schwachstellen.

Im TCP/IP-Protokollstapel ist DNSSEC auf der Anwendungsebene angesiedelt. Die Sicherheitserweiterung nutzt digitale Zertifikate, mit denen die DNS-Informationen signiert werden und sich prüfen lassen. Es kommen hierfür private und öffentliche Schlüssel und Konzepte der Public Key Infrastructure (PKI) zum Einsatz.

Durch die digitalen Signaturen lässt sich verhindern, dass DNS-Daten manipuliert werden oder von anderen als den gewünschten Quellen stammen. Sowohl der Anbieter der DNS-Informationen als auch das anfragende System müssen das Verfahren implementiert haben und unterstützen.

Die Einführung der Domain Name System Security Extensions auf Root-Ebene des Internets startete im Jahr 2010. DNSSEC ist seit 2011 prinzipiell auch für .de-Domains verfügbar. Die Top-Level-Domains des Internets sind mittlerweile zum Großteil mit diesem Verfahren signiert.

Gründe für die Entwicklung und Einführung von DNSSEC

Das Domain Name System ist eine für das Internet kritische und daher unverzichtbare Komponente. Per DNS werden die für die Kommunikation der Client- und Server-Systeme benötigten IP-Adressen ermittelt. Das Domain Name System liefert die zu einem für Menschen gut lesbaren und einfach zu merkenden Domainnamen zugehörige maschinenlesbare IP-Adresse, die für die Übertragung der Datenpakete benötigt wird. In den ursprünglichen DNS-Standards wurden Sicherheitsthemen wie die Integrität und Authentizität der übertragenen DNS-Daten nicht berücksichtigt. Das DNS tauscht Daten ungeschützt und unverschlüsselt als Textdaten aus. Mechanismen zum Signieren von Nachrichten waren nicht vorgesehen. Für den Empfänger einer Nachricht ist deshalb nicht eindeutig feststellbar, ob eine Nachricht oder eine DNS-Information tatsächlich vom vorgegebenen Absender stammt oder ob Nachrichteninhalte manipuliert wurden.

Die Domain Name System Security Extensions schließen einige dieser Sicherheitsschwachstellen. Die DNS-Informationen sind mit kryptografischen Signaturen abgesichert. Der Empfänger einer DNS-Nachricht hat dadurch die Möglichkeit, die Daten auf Integrität und Authentizität zu prüfen. Die Vertraulichkeit der Daten ist durch DNSSEC aber nicht gegeben, da die Spezifikation keine Verschlüsselung der übertragenen Informationen vorsieht.

Prinzipielle Funktionsweise von DNSSEC

DNSSEC arbeitet für eine sichere und manipulationsfreie Bereitstellung von DNS-Informationen mit asymmetrischer Verschlüsselung (private und öffentliche Schlüssel) und einer so genannten "Chain of Trust". Dabei werden die DNS-Daten auf den verschiedenen Hierarchieebenen des DNS digital signiert, beginnend mit der Root-Zone bis hin zu den autoritativen Nameservern der einzelnen Domains. Diese Signaturen können mit öffentlichen Schlüsseln, die in den DNS-Zonen gespeichert sind, verifiziert werden.

Versendet ein für eine per DNSSEC gesicherte Zone zuständiger Nameserver einen Resource Record, signiert er ihn mit dem nur ihm bekannten privaten Schlüssel. Jede Zone hat ihre eigenen Zonenschlüssel. Zu jedem privaten Schlüssel existiert ein zugehöriger öffentlicher Schlüssel. In den RFCs der Domain Name System Security Extensions ist ein neuer Typ von Resource Record definiert. Er nennt sich RRSIG und löste im Jahr 2004 den vorherigen, fast identischen SIG Resource Record ab.

Im RRSIG ist die Signatur des DNS-Eintrags enthalten. Die Signatur hat eine bestimmte Gültigkeitsdauer und ist mit einem Anfangs- und Endzeitpunkt versehen. Im DNSSEC-Standard ist vorgesehen, dass Resource Records mit verschiedenen privaten Schlüsseln mehrfach unterschrieben sein können. Das ist beispielsweise notwendig, wenn Schlüssel zeitlich auslaufen und ein nahtloser Ersatz des ablaufenden Schlüssels erfolgen soll. Um die Signaturen der Resource Records zu prüfen, verwenden die Empfänger der DNS-Informationen wie DNS-Resolver die bekannten öffentlichen Schlüssel der jeweiligen DNS-Zone. Nach einer erfolgreichen Verifikation der Signatur ist sichergestellt, dass die Antwort weder manipuliert ist noch von einem anderen als dem angenommenen Absender stammt.

Grenzen und Schwachstellen von DNSSEC

DNSSEC sorgt zwar für die Authentizität und Integrität der DNS-Informationen, die im DNS übertragenen Daten sind aber nach wie vor unverschlüsselt und dadurch für jeden lesbar. Die Vertraulichkeit der DNS-Informationen stellt DNSSEC daher nicht sicher. Um auch für die Vertraulichkeit von DNS-Abfragen und DNS-Antworten zu sorgen, müssen die Übertragungen zusätzlich mit einem Verschlüsselungsprotokoll wie TLS (Transport Layer Security) abgesichert werden. Hierfür sind Protokolle mit Transportverschlüsselung wie DNS over TLS (DoT) und DNS over HTTPS (DoH) einsetzbar.

Eine Schwachstelle der Domain Name System Security Extensions ist, dass Denial-of-Service-Attacken auf DNS-Server eher noch erleichtert werden, da das Signieren der Resource Records eine erhöhte Last auf den Servern generiert. Ebenfalls als problematisch anzusehen ist die Verteilung der öffentlichen Schlüssel über das DNS-System selbst. Die Vertrauenskette (Chain of Trust) ist dadurch gefährdet.

DNSSEC Walking, auch als Zone Walking bezeichnet, beschreibt ein Problem, das das vollständige Auslesen des Inhalts von signierten Zonen erlaubt. Durch Zone Walking lassen sich Informationen über die Struktur und die Existenz bestimmter Subdomains einer Zone erhalten, was potenziell für weitere Angriffsszenarien ausnutzbar ist.

Ein weiteres Problem ist, dass DNSSEC grundsätzlich zwar technisch weit verbreitet ist und von den meisten TLDs unterstützt wird, die tatsächliche aktive Nutzung auf Domainebene aber stark variiert. Die Validierungsrate ist länderabhängig sehr unterschiedlich. Für Deutschland weist die EU Internet Standards Deployment Monitoring Website eine DNSSEC-Validierungsrate von rund 80 Prozent (Q1 2025) aus. Die tatsächliche DNSSEC-Nutzungsrate auf Domainebene liegt aber nur bei etwa 5 Prozent. Diese Zahlen für Deutschland zeigen, dass der Anteil der registrierten Domains mit aktiviertem DNSSEC trotz der grundsätzlichen technischen Unterstützung von DNSSEC nach wie vor relativ gering ist.

(ID:46919640)