DNSSEC aktivieren: Anleitung mit Prüfung per dig

DNSSEC hat einen schlechten Ruf, den es sich in den Anfangsjahren hart erarbeitet hat: kompliziert, fehleranfällig, und wenn etwas schiefging, war die Domain weg. Heute ist das Einschalten bei den meisten DNS-Anbietern ein Klick, und die Prüfung dauert zwei Minuten. Wer DNSSEC aktivieren will, muss vor allem zwei Dinge verstehen: wo der Schlüssel liegt, und was beim Anbieterwechsel passiert.

Was DNSSEC aktivieren eigentlich bedeutet

Normale DNS-Antworten sind nicht signiert. Ein Resolver fragt „Welche IP hat deine-domain.de?“ und glaubt die Antwort, die zurückkommt. Mit DNSSEC wird jede Antwort deiner Zone kryptografisch signiert, und ein validierender Resolver prüft die Signatur.

Damit der Resolver weiß, welchem Schlüssel er trauen soll, gibt es eine Kette:

Signiert dein DNS-Anbieter die Zone, aber in der .de-Zone steht kein DS-Eintrag, fehlt das Glied in der Mitte. Die Signaturen existieren dann, werden aber von niemandem geprüft. Das ist der häufigste halbfertige Zustand.

DNSSEC aktivieren in vier Schritten

1. Zone signieren. Im Kundenbereich deines DNS-Anbieters gibt es meist einen Schalter „DNSSEC“. Der Anbieter erzeugt einen Schlüssel zum Signieren der Zone (Flag 256) und einen Schlüssel zum Signieren der Schlüssel (Flag 257, Key Signing Key) und signiert alle Einträge. Liegt DNS und Domain beim selben Anbieter, erledigt er oft auch Schritt 2 automatisch.

2. Schlüssel an die Registry. Der öffentliche Teil des Key Signing Key muss in die übergeordnete Zone. Bei .com und den meisten anderen Endungen übermittelt dein Registrar dafür einen DS-Eintrag, also einen Hash des Schlüssels. Die DENIC geht einen anderen Weg: Für .de reicht der Registrar den DNSKEY selbst ein, und die DENIC berechnet den DS-Eintrag. In der Whois-Abfrage einer .de-Domain siehst du das als Zeile Dnskey:.

3. Prüfen. Dazu gleich mehr.

4. Notieren. Schreib dir auf, bei wem die Schlüssel liegen. Beim Anbieterwechsel in zwei Jahren wirst du es brauchen.

DNSSEC prüfen mit dig

Ob ein DS-Eintrag in der übergeordneten Zone steht, zeigt diese Abfrage. Hier am Beispiel von denic.de:

dig DS denic.de +short

26155 8 2 078547BF937A225C9EFB2CAF7FAC11BD88671FCEDFAEEB55C9B19CB0 320BEFC9

Die Felder bedeuten: Schlüssel-ID 26155, Algorithmus 8 (RSASHA256), Hash-Typ 2 (SHA-256), danach der Hash. Bekommst du für deine Domain keine Ausgabe, fehlt der DS-Eintrag, und die Kette ist offen.

Ob ein validierender Resolver deine Antworten als gültig akzeptiert, zeigt das ad-Flag:

dig +dnssec denic.de A @1.1.1.1

;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
denic.de.   3600  IN  A      81.91.170.12
denic.de.   3600  IN  RRSIG  A 8 2 3600 20261027144429 20261013131429 29355 denic.de. ti5go...

ad steht für „authenticated data“. Der Resolver hat die Signatur geprüft und für gültig befunden. Die zweite Zeile ist die Signatur selbst, mit Ablauf- und Erstellungsdatum.

Wie es aussieht, wenn etwas nicht stimmt, zeigt eine Testdomain, die absichtlich falsch signiert ist:

dig A dnssec-failed.org @1.1.1.1

;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 14211

Mit dem Zusatz +cd (checking disabled) bekommt man trotzdem eine IP. Genau so diagnostizierst du einen DNSSEC-Fehler bei deiner eigenen Domain: SERVFAIL ohne +cd, korrekte Antwort mit +cd heißt, die Kette ist kaputt.

Der gefährliche Moment: Anbieterwechsel

Fast alle DNSSEC-Ausfälle passieren beim Umzug zu einem neuen DNS-Anbieter. Der neue Anbieter signiert mit neuen Schlüsseln, bei der Registry steht aber noch der alte. Ab dem Moment, in dem die Nameserver umgestellt sind, passen Schlüssel und Signatur nicht mehr zusammen, und validierende Resolver liefern SERVFAIL.

Es gibt zwei sichere Wege:

1. Abschalten, umziehen, einschalten. DS-Eintrag bei der Registry entfernen, warten, bis die TTL des DS-Eintrags abgelaufen ist (bei .de sind das 86400 Sekunden, also ein Tag), dann Nameserver wechseln, dann beim neuen Anbieter DNSSEC einschalten. Für die Zwischenzeit ist die Domain unsigniert, aber erreichbar.
2. Beide Schlüssel parallel. Den Schlüssel des neuen Anbieters zusätzlich bei der Registry hinterlegen, bevor die Nameserver wechseln. Das geht nur, wenn beide Anbieter dabei mitspielen.

Für die meisten ist Weg 1 der einfachere.

Was DNSSEC schützt und was nicht

DNSSEC schützt die Antworten auf dem Weg zwischen deinem Nameserver und einem validierenden Resolver. Gefälschte Antworten durch Cache Poisoning oder umgeleitete Verbindungen fallen auf. Mehr zu diesen Szenarien steht unter DNS-Hijacking.

Was DNSSEC nicht verhindert: dass jemand mit deinen Zugangsdaten die Zone selbst ändert oder DNSSEC einfach abschaltet. Dagegen helfen Zwei-Faktor-Anmeldung und bei wichtigen Domains ein Registry Lock.

Was DNSSEC zusätzlich möglich macht

DNSSEC ist nicht nur ein Schutz gegen gefälschte Antworten, sondern auch die Grundlage für andere Verfahren. Das bekannteste ist DANE. Damit veröffentlichst du im DNS einen TLSA-Eintrag, der festlegt, welches Zertifikat dein Mailserver verwendet. Ein sendender Mailserver, der DANE unterstützt, prüft dann beim Zustellen, ob das Zertifikat passt, und baut keine unverschlüsselte Verbindung auf. Das Verfahren für SMTP ist in RFC 7672 beschrieben.

Ohne DNSSEC hätte ein TLSA-Eintrag keinen Wert, denn wer DNS-Antworten fälschen kann, könnte auch ihn fälschen. Deshalb setzt DANE eine signierte Zone voraus.

Ein zweiter Punkt betrifft die Wartung. Signaturen haben ein Ablaufdatum, in der Ausgabe oben steht es in der RRSIG-Zeile. Gute DNS-Anbieter erneuern sie automatisch. Betreibst du deine Nameserver selbst, etwa mit BIND oder Knot, musst du sicherstellen, dass die automatische Neusignierung läuft. Abgelaufene Signaturen führen zum selben SERVFAIL wie ein falscher Schlüssel.

Und ein Hinweis für die Fehlersuche: Nicht jeder Resolver validiert. Bekommst du von deinem Router keine ad-Flags, heißt das nicht, dass deine Zone kaputt ist. Frag zum Testen immer einen öffentlichen, validierenden Resolver wie 1.1.1.1 oder 8.8.8.8.

DNSSEC bei betadomain

Bei betadomain gehört DNSSEC zum Angebot. Für eine .de-Domain mit DNSSEC heißt das: Zone signieren, Schlüssel hinterlegen, mit den Befehlen oben prüfen. Bei .eu und .com läuft es genauso, nur dass dort ein DS-Eintrag übertragen wird. Wer viele Domains hat, kann das über die Domain-API automatisieren.

Als ersten Schritt reicht dig DS deine-domain.de +short. Kommt nichts zurück, weißt du, was zu tun ist.

Schritt für Schritt

1. Zone signierenBeim DNS-Anbieter DNSSEC für die Zone einschalten. Der Anbieter erzeugt Schlüssel und signiert die Einträge.
2. Schlüssel an die RegistryDen öffentlichen Schlüssel (DNSKEY) oder DS-Eintrag beim Registrar hinterlegen, der ihn an die Registry weitergibt.
3. Mit dig prüfenMit dig DS und dig +dnssec kontrollieren, ob der DS-Eintrag in der übergeordneten Zone steht und Antworten das ad-Flag tragen.
4. Wechsel planenVor einem Wechsel des DNS-Anbieters den alten Schlüssel bei der Registry entfernen oder den neuen vorher ergänzen.