DNSSEC Sicherheitserweitung

[tigerl]

Warum lehnen es manche Domain Hoster die DNSSEC Sicherheitserweitung auf ihren Servern einzuführen so sehr ab?

 

[EscobarPablo]

Warum kann ich dir nicht sagen... aber es geht z. B. bei Cloudflare unter dem Punkt DNS -> Settings:

Ob DNSSEC bereits aktiviert ist, kann man prüfen:

Im Terminal/Windows: Resolve-DnsName -Name example.com -Type A -Server 1.1.1.1 -DnssecOk

Im Web: z. B. https://dnssec-debugger.verisignlabs.com/

Falls es gerade erst aktiviert wurde, kann die Synchronisation zwischen Domain-Anbieter und den weltweiten Top-Level-Domain-Registries aber bis zu 6 Stunden dauern.

 

[tigerl]

Habe da gerade auch einiges gefunden bezüglich Nachteile: Erhöhtes DDoS-Risiko, Fehlende Verschlüsselung und Datenschutz, Hohe Komplexität und Ausfallrisiken, Kein umfassender Schutz.
Die Nachteile sind vielfältig, was ich mir nicht gedacht hätte:
https://search.brave.com/search?q=d...ersation=09bd7ff12897970994e3655bcb5dd351dec9

 

[EscobarPablo]

Werden jetzt nur noch Suchmaschinen-Links gepostet? 🤨

Es ist einfach eine zusätzliche Sicherheit für den Client.

 

[Marco01_809]

DNSSEC bietet zwar Schutz vor DNS-Spoofing, bringt jedoch signifikante technische und sicherheitsrelevante Nachteile mit sich.

Fehlende Verschlüsselung und Datenschutz

Das ist natürlich ausgemachter Unsinn, bzw. man muss schon ein sehr fragwürdiges Verständnis vom Wort "Nachteil" haben. Ohne DNSSEC ist ja auch nichts verschlüsselt, DNSSEC führt also zu keiner Verschlechterung.

Ist es ein Nachteil wenn mein neuer Kühlschrank keine Ober-/Unterhitze hat? Hatte der alte auch nicht, gibt auch keinen Sinn warum man das in einen Kühlschrank einbauen sollte, aber wärs nicht toll, dann muss man das Essen ja nicht erst in den Ofen tun...

DNSSEC führt zusätzliche Record-Typen ins DNS-System ein. Insbesondere die DS-Records die einer Zone ("Domain") einen Key zuweisen, und RRSIG-Records, die jeweils einen anderen Record mit einem Signatur versehen. Mit dem Übertragungsweg der Records hat DNSSEC überhaupt keine Berührungspunkte. Es macht 0 Sinn von DNSSEC eine Transportverschlüsselung zu erwarten.

DNS-over-TLS / DNS-over-HTTPS / DNS-over-QUIC übertragen DNS-Anfragen+Antworten verschlüsselt. Allerdings nur zwischen einem öffentlichen Resolver (z.B. dein ISP, Cloudflare oder Quad9) und deinem Router/Endgerät/Browser. Das schützt von Schnüfflern auf dem Übertragungsweg, garantiert aber nur dass du die Daten gekriegt hast die der Resolver dir geben wollte. Ob das wirklich die Records sind die der Domain-Besitzer veröffentlich hat weißt du nicht.

DNSSEC = Soll sicherstellen dass die Daten vom Domain-Besitzer stammen
DoT/DoH/DoQ = Soll sicherstellen dass niemand mitliest welche Anfragen du stellst
Im Regelfall will man beides, aber welches du wirklich brauchst kommt auf dein Threat Model an.

Kein umfassender Schutz: Die Technologie sichert nur die Integrität der Namensauflösung, nicht aber die Datenübertragung selbst oder den Schutz vor kompromittierten Registrar-Zugangsdaten.

Ja DNSSEC schützt auch nicht bei Rohrbruch und Motorschäden, warum soll das relevant sein?
"Kondome sind schlecht weil sie nur meistens vor Geschlechtskrankheiten schützen"

Hohe Komplexität und Ausfallrisiken

DAS ist der Hauptgrund warum Anbieter und Domain-Besitzer DNSSEC nicht ausrollen wollen; das System ist kompliziert und kleine Fehler können Domains für Stunden oder Tage unbrauchbar machen. Selbst die DENIC hat damit erst im Mai das deutsche Internet abgeschaltet (zumindest für alle die DNSSEC validieren).

DNSSEC ist jedoch alternativlos; es gibt keine andere Möglichkeit wie ein Resolver die Echtheit von Records verifizieren kann.