{ "id": "dnssec-rootzone-2010", "title": "DNSSEC: Die Root-Zone des DNS geht signiert in Betrieb", "date": "2010-07-15", "summary": "Am 15. Juli 2010 löste eine produktiv signierte Root-Zone die bis dahin ausgelieferte Testfassung ab. Seither lässt sich eine DNS-Antwort bis zur Wurzel zurückverfolgen — sofern der Resolver die Signaturen auch prüft.", "body": "Am 15. Juli 2010 um 20:50 UTC übernahm die produktiv signierte Root-Zone des Domain Name System den Betrieb; die erste Fassung trug die Seriennummer 2010071501, schädliche Auswirkungen wurden nicht gemeldet.[^s1] Am Tag darauf berichtete heise online, alle dreizehn autoritativen Rootserver lieferten ihre Antworten nun mit einem DNSSEC-Schlüssel aus.[^s5] Zugleich veröffentlichte die IANA den Vertrauensanker der Root-Zone, gegen den ein Resolver die Signaturkette prüfen kann.[^s1]\n\nMit DNSSEC kann ein Resolver prüfen, ob eine Antwort echt ist.[^s3] Das geschieht mit Signaturen entlang der Delegationskette, sodass ein Resolver einem durchgehend signierten und geprüften Pfad folgen kann.[^s3] Solange die Wurzel unsigniert blieb, fehlte dieser Kette der Anfang; das RIPE NCC kündigte im März 2010 an, ICANN werde die Root-Zone mit echten Schlüsseln signieren und den Vertrauensanker nach dem 1. Juli 2010 freigeben.[^s4] Der Anfang war damit gemacht, das Ende noch lange nicht: Vorerst lagen nur sieben Schlüssel von Top-Level-Domains in der signierten Wurzel — .bg, .br, .cat, .cz, .na, .tm und .uk.[^s5]\n\nDer Umstieg lief in Stufen.[^s1][^s3] Von Januar bis Mai 2010 lieferten die Rootserver eine absichtlich nicht prüfbare Zone aus, die Deliberately-Unvalidatable Root Zone: signiert, aber mit Schlüsseln, gegen die sich nichts validieren ließ.[^s3] Den Anfang machte L-Root am 27. Januar 2010, A-Root folgte am 10. Februar, und bis zum 5. Mai waren alle dreizehn umgestellt.[^s1] Der Grund für diesen Umweg war die Antwortgröße: Signierte Antworten überschreiten meist die Grenze von 512 Byte, für die die Erweiterung EDNS0 entwickelt wurde.[^s3] Am 16. Juni 2010 hielt ICANN in einem Rechenzentrum in Culpeper, Virginia, die erste Schlüsselzeremonie für die Root-Zone ab.[^s1][^s2] Vorgesehen waren für jede Zeremonie neben ICANN-Mitarbeitern vierzehn Trusted Community Representatives.[^s2]\n\nDer Termin verschob sich dabei.[^s1][^s3][^s4] Das Internet Systems Consortium im Januar und das RIPE NCC im März 2010 nannten übereinstimmend den 1. Juli 2010 als Zeitpunkt, ab dem die echte signierte Wurzel gelten sollte;[^s3][^s4] vollzogen wurde der Übergang zwei Wochen später.[^s1]", "themeId": "theme-signierte-namen", "datePrecision": "day", "dateSources": [ "s1", "s5" ], "verification": "verified", "sources": [ { "key": "s1", "title": "Root DNSSEC — Launch Status Updates", "publisher": "IANA (Internet Assigned Numbers Authority)", "url": "https://www.iana.org/archive/root-dnssec-launch/launch-status-updates", "accessedAt": "2026-09-22", "status": "live" }, { "key": "s2", "title": "ICANN's First DNSSEC Key Ceremony for the Root Zone", "publisher": "ICANN, 7. Juni 2010", "url": "https://www.icann.org/en/announcements/details/icanns-first-dnssec-key-ceremony-for-the-root-zone-7-6-2010-en", "accessedAt": "2026-09-22", "status": "live" }, { "key": "s3", "title": "The Signed Root Is Coming! (And What This Means For You)", "publisher": "Internet Systems Consortium, 29. Januar 2010", "url": "https://www.isc.org/blogs/the-signed-root-is-coming-and-what-this-means-for-you/", "accessedAt": "2026-09-22", "status": "live" }, { "key": "s4", "title": "RIPE NCC Operated K-Root Server Distributing Root Zone Signed with DNSSEC", "publisher": "RIPE NCC, 23. März 2010", "url": "https://www.ripe.net/about-us/news/ripe-ncc-operated-k-root-server-distributing-root-zone-signed-with-dnssec/", "accessedAt": "2026-09-22", "status": "live" }, { "key": "s5", "title": "DNSSEC in der DNS-Rootzone gestartet", "publisher": "Monika Ermert, heise online, 16. Juli 2010", "url": "https://www.heise.de/news/DNSSEC-in-der-DNS-Rootzone-gestartet-1039401.html", "accessedAt": "2026-09-22", "status": "live" } ], "provenance": { "origin": "recherche", "reviewedBy": "research", "reviewedAt": "2026-09-22" }, "figure": { "title": "Vom Testbetrieb zur signierten Wurzel", "subtitle": "Die Stufen des Umstiegs im Jahr 2010", "type": "meilensteine", "events": [ { "at": "2010-01-27", "label": "L-Root beginnt mit der Testzone", "source": "s1" }, { "at": "2010-05-05", "label": "alle dreizehn Rootserver umgestellt", "source": "s1" }, { "at": "2010-06-16", "label": "erste Schlüsselzeremonie in Culpeper", "source": "s2" }, { "at": "2010-07-15", "label": "produktiv signierte Root-Zone", "source": "s1" } ] }, "seeAlso": [ { "id": "dns-1983", "note": "Das Verzeichnis, das hier siebenundzwanzig Jahre später eine Unterschrift bekommt." }, { "id": "morris-wurm-1988", "note": "Zwei Jahrzehnte zuvor zeigte ein Wurm, wie wenig Prüfung im Netz eingebaut war." }, { "id": "lets-encrypt-2015", "note": "Dieselbe Bewegung an anderer Stelle: Kryptografie wird Voreinstellung statt Zubehör." } ], "disputed": [ { "claim": "Termin der produktiven Signierung der Root-Zone", "positions": [ { "value": "1. Juli 2010 (angekündigt)", "source": "s4" }, { "value": "15. Juli 2010, 20:50 UTC (vollzogen)", "source": "s1" } ], "resolution": "Der 1. Juli war der im Vorlauf angekündigte Termin; der Übergang von der Testzone zur produktiven Zone fand zwei Wochen später statt." } ], "category": "history", "area": { "id": "internet", "title": "Internet" }, "theme": { "id": "theme-signierte-namen", "title": "Signierte Namen" }, "referencedBy": [ { "area": "internet", "id": "tls-zertifikatslaufzeit-2025", "title": "CA/Browser Forum senkt die Zertifikatslaufzeit auf 47 Tage", "note": "Auch dort trägt die Sicherheit des Netzes an einer Schlüsselverwaltung, die niemand von Hand führen kann." }, { "area": "internet", "id": "dns-1983", "title": "Das Domain Name System ersetzt die eine große Namensdatei", "note": "Ob eine Antwort dieses Verzeichnisses echt ist, ließ sich erst ab 2010 bis zur Wurzel prüfen." } ], "zeitalter": [ { "id": "neueste-geschichte", "name": "Neueste Geschichte", "art": "kette" }, { "id": "neuzeit", "name": "Neuzeit", "art": "ueberlagerung" }, { "id": "zeitgeschichte", "name": "Zeitgeschichte", "art": "ueberlagerung" } ], "verzeichnis": "https://footnoted.net/de/internet/epoche/epoch-infrastruktur-des-alltags/llms.txt#dnssec-rootzone-2010", "license": "https://creativecommons.org/licenses/by/4.0/", "creditText": "Footnoted — footnoted.net", "usageInfo": "https://footnoted.net/de/lizenz/" }