it-themen:grundlagen:netzwerkdienste:dnssec
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Nächste Überarbeitung | Vorhergehende Überarbeitung | ||
| it-themen:grundlagen:netzwerkdienste:dnssec [01.12.2025 11:34] – angelegt lars | it-themen:grundlagen:netzwerkdienste:dnssec [01.12.2025 11:46] (aktuell) – [Zusammenfassung] lars | ||
|---|---|---|---|
| Zeile 15: | Zeile 15: | ||
| Ohne DNSSEC sind folgende Angriffe möglich: | Ohne DNSSEC sind folgende Angriffe möglich: | ||
| - | * DNS-Spoofing | + | * DNS-Spoofing |
| - | * Cache Poisoning | + | * Cache Poisoning |
| - | * Man-in-the-Middle | + | * Man-in-the-Middle |
| - | * Umleitung auf falsche Server | + | * Umleitung auf falsche Server |
| Beispiel: | Beispiel: | ||
| Zeile 31: | Zeile 31: | ||
| Clients können prüfen: | Clients können prüfen: | ||
| - | * „Kommt diese DNS-Antwort wirklich vom Zonenbetreiber? | + | * „Kommt diese DNS-Antwort wirklich vom Zonenbetreiber? |
| - | * „Wurde sie unterwegs verändert? | + | * „Wurde sie unterwegs verändert? |
| ===== SchlĂĽsseltypen ====== | ===== SchlĂĽsseltypen ====== | ||
| Zeile 58: | Zeile 58: | ||
| Beispiel RRSIG: | Beispiel RRSIG: | ||
| < | < | ||
| - | example.com. | + | Â |
| + | example.com. | ||
| + | Â | ||
| </ | </ | ||
| + | |||
| + | --- | ||
| ===== Chain of Trust (Vertrauenskette) ====== | ===== Chain of Trust (Vertrauenskette) ====== | ||
| Zeile 68: | Zeile 73: | ||
| < | < | ||
| - | [ Root (.) ] | + | Â |
| + | [ Root (.) ] | ||
| ↓ DS | ↓ DS | ||
| - | [ .com ] | + | [ .com ] |
| ↓ DS | ↓ DS | ||
| - | [ example.com ] | + | [ example.com ] |
| ↓ RRSIG | ↓ RRSIG | ||
| - | [ host.example.com ] | + | [ host.example.com ]Â |
| + | Â | ||
| </ | </ | ||
| Jede Stufe bestätigt die nächste. | Jede Stufe bestätigt die nächste. | ||
| + | |||
| + | --- | ||
| ===== Beispiel Ablauf einer DNSSEC-PrĂĽfung ====== | ===== Beispiel Ablauf einer DNSSEC-PrĂĽfung ====== | ||
| - | 1. Client fragt eine Domain z. B. `example.com`. | + | Â |
| - | 2. Nameserver liefert Antwort + **RRSIG**. | + | |
| - | 3. Client lädt **DNSKEY** der Zone.  | + | 2. Nameserver liefert Antwort + **RRSIG**. |
| - | 4. DNSKEY wird per **DS-Eintrag** in der Parent-Zone bestätigt. | + | 3. Client lädt **DNSKEY** der Zone. |
| - | 5. Alles beginnt beim **Root**, das öffentlich bekannt ist.  | + | 4. DNSKEY wird per **DS-Eintrag** in der Parent-Zone bestätigt. |
| - | 6. Ergebnis: | + | 5. Alles beginnt beim **Root**, das öffentlich bekannt ist. |
| - | | + | 6. Ergebnis:Â |
| - | | + | Â |
| + | * „Signatur gültig“ → Antwort akzeptiert | ||
| + | Â | ||
| + | | ||
| ===== Negative Antworten: NSEC / NSEC3 ====== | ===== Negative Antworten: NSEC / NSEC3 ====== | ||
| Zeile 105: | Zeile 118: | ||
| ===== Vorteile von DNSSEC ====== | ===== Vorteile von DNSSEC ====== | ||
| - | * Schutz vor Cache Poisoning | + | * Schutz vor Cache Poisoning |
| - | * Schutz vor gefälschten DNS-Antworten | + | * Schutz vor gefälschten DNS-Antworten |
| - | * garantierte Datenintegrität | + | * garantierte Datenintegrität |
| * Basis fĂĽr DANE (TLSA-Records fĂĽr E-Mail-Sicherheit) | * Basis fĂĽr DANE (TLSA-Records fĂĽr E-Mail-Sicherheit) | ||
| ===== Nachteile / Herausforderungen ====== | ===== Nachteile / Herausforderungen ====== | ||
| - | * höherer Administrationsaufwand | + | * höherer Administrationsaufwand |
| - | * größere DNS-Pakete | + | * größere DNS-Pakete |
| - | * nicht alle Resolver unterstĂĽtzen DNSSEC | + | * nicht alle Resolver unterstĂĽtzen DNSSECÂ |
| - | * Signaturen müssen regelmäßig erneuert werden | + | * Signaturen müssen regelmäßig erneuert werden |
| ===== Beispiel – DNSSEC aktiv prüfen ====== | ===== Beispiel – DNSSEC aktiv prüfen ====== | ||
| Linux: | Linux: | ||
| - | < | + | < |
| - | dig example.com +dnssec | + | Â |
| + | dig example.com +dnssec | ||
| + | Â | ||
| </ | </ | ||
| GĂĽltige Antwort zeigt: | GĂĽltige Antwort zeigt: | ||
| - | * DNSKEY | + | * DNSKEYÂ |
| - | * RRSIG | + | * RRSIG |
| * AD-Flag („Authenticated Data“) | * AD-Flag („Authenticated Data“) | ||
| ===== Zusammenfassung ====== | ===== Zusammenfassung ====== | ||
| - | * DNSSEC schützt **DNS-Integrität**, | + | * DNSSEC schützt **DNS-Integrität**, |
| - | * verwendet digitale Signaturen mit ZSK und KSK Â | + | * verwendet digitale Signaturen mit ZSK und KSKÂ |
| - | * Chain of Trust: Root → TLD → Domain | + | * Chain of Trust: Root → TLD → Domain |
| - | * RRSIG, DNSKEY, DS, NSEC/NSEC3 sind die wichtigsten Recordtypen | + | * RRSIG, DNSKEY, DS, NSEC/NSEC3 sind die wichtigsten Recordtypen |
| - | * verhindert Spoofing, MITM und Cache Poisoning | + | * verhindert Spoofing, MITM und Cache Poisoning |
it-themen/grundlagen/netzwerkdienste/dnssec.1764585242.txt.gz · Zuletzt geändert: von lars