DNSSEC

Wie funktioniert DNSSEC?

Bei der Signierung einer Domain mithilfe von DNSSEC wird in einer sogenannten Vertrauenskette (Chain of Trust) geprüft, ob die beim Aufruf der Domain entstehenden Abfragen wirklich vom zuständigen Server beantwortet werden.

Für jede Domain wird dabei eine digitale Signatur erstellt. Hierzu wird ein Schlüsselpaar (bestehend aus privatem und öffentlichem Schlüssel) generiert. Der private Teil ist geheim und verbleibt stets nur beim Besitzer. Der öffentliche Teil wird hingegen im DNS publiziert. Er dient dazu eine Unterschrift, die mit dem privaten Schlüssel signiert wurde, zu überprüfen und zu validieren. Dem öffentlichen Schlüssel muss dabei vertraut werden. Eine möglichst hoch im DNS-Baum angesiedelte Zone enthält die öffentlichen Schlüssel ihrer delegierten Subzonen und unterschreibt diese digital. Die Subzonen können wiederum die signierten öffentlichen Schlüssel ihrer untergeordneten Zonen enthalten. Anhand der verwendeten Signatur lässt sich dann bei jedem Abfragevorgang prüfen, ob die Daten von einer dazu berechtigten Quelle gesendet wurden und ob die Daten weiterhin valide sind. Sind alle Daten valide, konnte sichergestellt werden, dass es sich tatsächlich um die aufgerufene Domain handelt.