DNSSEC: Die Root-Zone des DNS geht signiert in Betrieb
Am 15. Juli 2010 löste eine produktiv signierte Root-Zone die bis dahin ausgelieferte Testfassung ab. Seither lässt sich eine DNS-Antwort bis zur Wurzel zurückverfolgen — sofern der Resolver die Signaturen auch prüft.
Am 15. Juli 2010 um 20:50 UTC übernahm die produktiv signierte des Domain Name System den Betrieb; die erste Fassung trug die Seriennummer 2010071501, schädliche Auswirkungen wurden nicht gemeldet.1 Am Tag darauf berichtete heise online, alle dreizehn autoritativen Rootserver lieferten ihre Antworten nun mit einem -Schlüssel aus.5 Zugleich veröffentlichte die IANA den der Root-Zone, gegen den ein Resolver die Signaturkette prüfen kann.1
Mit DNSSEC kann ein Resolver prüfen, ob eine Antwort echt ist.3 Das geschieht mit Signaturen entlang der Delegationskette, sodass ein Resolver einem durchgehend signierten und geprüften Pfad folgen kann.3 Solange die Wurzel unsigniert blieb, fehlte dieser Kette der Anfang; das RIPE NCC kündigte im März 2010 an, ICANN werde die Root-Zone mit echten Schlüsseln signieren und den Vertrauensanker nach dem 1. Juli 2010 freigeben.4 Der Anfang war damit gemacht, das Ende noch lange nicht: Vorerst lagen nur sieben Schlüssel von in der signierten Wurzel — .bg, .br, .cat, .cz, .na, .tm und .uk.5
Der Umstieg lief in Stufen.1,3 Von Januar bis Mai 2010 lieferten die Rootserver eine absichtlich nicht prüfbare Zone aus, die Deliberately-Unvalidatable Root Zone: signiert, aber mit Schlüsseln, gegen die sich nichts validieren ließ.3 Den Anfang machte L-Root am 27. Januar 2010, A-Root folgte am 10. Februar, und bis zum 5. Mai waren alle dreizehn umgestellt.1 Der Grund für diesen Umweg war die Antwortgröße: Signierte Antworten überschreiten meist die Grenze von 512 Byte, für die die Erweiterung EDNS0 entwickelt wurde.3 Am 16. Juni 2010 hielt ICANN in einem Rechenzentrum in Culpeper, Virginia, die erste Schlüsselzeremonie für die Root-Zone ab.1,2 Vorgesehen waren für jede Zeremonie neben ICANN-Mitarbeitern vierzehn Trusted Community Representatives.2
Der Termin verschob sich dabei.1,3,4 Das Internet Systems Consortium im Januar und das RIPE NCC im März 2010 nannten übereinstimmend den 1. Juli 2010 als Zeitpunkt, ab dem die echte signierte Wurzel gelten sollte;3,4 vollzogen wurde der Übergang zwei Wochen später.1
- L-Root beginnt mit der Testzone
- alle dreizehn Rootserver umgestellt
- erste Schlüsselzeremonie in Culpeper
- produktiv signierte Root-Zone
| Datum | Ereignis | Beleg |
|---|---|---|
| 27. Januar 2010 | L-Root beginnt mit der Testzone | [1] |
| 5. Mai 2010 | alle dreizehn Rootserver umgestellt | [1] |
| 16. Juni 2010 | erste Schlüsselzeremonie in Culpeper | [2] |
| 15. Juli 2010 | produktiv signierte Root-Zone | [1] |
Siehe auch
- Das Domain Name System ersetzt die eine große Namensdatei 1983 Das Verzeichnis, das hier siebenundzwanzig Jahre später eine Unterschrift bekommt.
- Ein Wurm befällt Tausende Rechner — wie viele, hat nie jemand erhoben 1988 Zwei Jahrzehnte zuvor zeigte ein Wurm, wie wenig Prüfung im Netz eingebaut war.
- Let's Encrypt macht Zertifikate kostenlos und automatisch 2015 Dieselbe Bewegung an anderer Stelle: Kryptografie wird Voreinstellung statt Zubehör.
Hierher verwiesen
- CA/Browser Forum senkt die Zertifikatslaufzeit auf 47 Tage 2025 Auch dort trägt die Sicherheit des Netzes an einer Schlüsselverwaltung, die niemand von Hand führen kann.
- Das Domain Name System ersetzt die eine große Namensdatei 1983 Ob eine Antwort dieses Verzeichnisses echt ist, ließ sich erst ab 2010 bis zur Wurzel prüfen.