Vetrauenskette bei DNSSEC im LAB - Versionsgeschichte

Thomas.will: /* Kurz und knapp */

2026-06-02T05:32:19Z

Kurz und knapp

Thomas.will: /* Kurz und knapp */

2026-06-02T05:31:41Z

Kurz und knapp

Thomas.will: /* Szenario im Lab */

2026-06-02T05:28:57Z

Szenario im Lab

Thomas.will am 2. Juni 2026 um 05:25 Uhr

2026-06-02T05:25:20Z

Thomas.will: /* Ablauf der Validierung */

2026-06-02T05:24:04Z

Ablauf der Validierung

Thomas.will: /* Ablauf der Validierung */

2026-06-02T05:21:21Z

Ablauf der Validierung

Thomas.will am 2. Juni 2026 um 05:20 Uhr

2026-06-02T05:20:01Z

Thomas.will am 2. Juni 2026 um 05:11 Uhr

2026-06-02T05:11:43Z

Thomas.will: Die Seite wurde neu angelegt: „==Grundlegendes== * DNSSEC ergänzt DNS um kryptografische Signaturen. * Diese Signaturen garantieren '''Authentizität''' (Antwort kommt vom richtigen Nameser…“

2026-06-02T05:03:02Z

Die Seite wurde neu angelegt: „==Grundlegendes== * DNSSEC ergänzt DNS um kryptografische Signaturen. * Diese Signaturen garantieren '''Authentizität''' (Antwort kommt vom richtigen Nameser…“

Neue Seite

==Grundlegendes==
* DNSSEC ergänzt DNS um kryptografische Signaturen.
* Diese Signaturen garantieren '''Authentizität''' (Antwort kommt vom richtigen Nameserver) und '''Integrität''' (Antwort wurde nicht manipuliert).
* DNSSEC verschlüsselt '''nicht''' – DNS-Abfragen sind weiterhin im Klartext lesbar.
* DNSSEC schützt nur die Strecke bis zum '''validierenden Resolver'''. Zwischen Resolver und Client findet keine Validierung statt.

==Aufbau==
* Dieser Beitrag enthält eine Rahmenhandlung.
{{#Drawio:sig-test}}

==Szenario im Lab==
* Der Resolver von '''ns.it201.int''' löst '''mail.it213.int''' auf.
* Der Resolver hat den '''Trust Anchor für .int''' fest hinterlegt.
* Die Root-Zone und TLD-Validierung entfallen damit vollständig.

Die Vertrauenskette hat dadurch nur noch '''drei Stufen''':

{| class="wikitable"
! Stufe !! Vertrauens-Objekt !! Validiert durch
|-
| '''Trust Anchor'''
| KSK von .int (öffentlich)
| Fest im Resolver hinterlegt
|-
| '''Delegation'''
| DS-Record für it213.int
| Signiert vom ZSK der .int-Zone
|-
| '''Domain-Schlüssel'''
| DNSKEY von it213.int
| KSK durch DS bestätigt → ZSK vertraut
|-
| '''Nutzdaten'''
| RRSIG des A-Records mail.it213.int
| Signiert vom ZSK it213.int
|}

==Farbkonvention==
* Grün – privater Schlüssel (muss nie vertraut werden, bleibt geheim)
* Rot – öffentlicher Schlüssel (noch nicht vertraut)
* Blau – öffentlicher Schlüssel (vertraut)

==Ablauf der Validierung==

===Schritt 1: Trust Anchor – .int===
* Der Resolver kennt den KSK von .int (öffentlich) als Trust Anchor.
* Dieser ist fest im Resolver hinterlegt (z. B. in BIND oder Unbound als '''trusted-keys''' bzw. '''trust-anchor''').
* Er ist der Startpunkt der Vertrauenskette.

===Schritt 2: Delegation – DS-Record für it213.int===
* Die .int-Zone enthält einen DS-Record für it213.int.
* Der DS-Record enthält den Hash des KSK von it213.int (öffentlich).
* Der ZSK von .int (privat) signiert diesen DS-Record → RRSIG.
* Der Resolver:
*# holt DS-Record und RRSIG aus der .int-Zone
*# entschlüsselt die Signatur mit dem ZSK von .int (öffentlich) (aus dem DNSKEY der .int-Zone, der durch den Trust Anchor bestätigt ist)
*# berechnet selbst den Hash über den DS-Record
*# vergleicht beide Werte – stimmen sie überein → DS-Record authentisch
* Der Resolver vertraut nun dem KSK von it213.int (öffentlich).

===Schritt 3: Domain-Schlüssel – DNSKEY von it213.int===
* it213.int veröffentlicht seinen DNSKEY-Record mit KSK (öffentlich) und ZSK (öffentlich).
* Der KSK von it213.int (privat) signiert den DNSKEY-Record → RRSIG.
* Der Resolver:
*# holt DNSKEY-Record und RRSIG
*# entschlüsselt die Signatur mit dem KSK von it213.int (öffentlich) (bereits vertraut aus Schritt 2)
*# berechnet selbst den Hash über den DNSKEY-Record
*# vergleicht beide Werte – stimmen sie überein → DNSKEY authentisch
* Der Resolver vertraut nun dem ZSK von it213.int (öffentlich).

===Schritt 4: Nutzdaten – A-Record mail.it213.int===
* Der autoritative Nameserver von it213.int signiert den A-Record mit dem ZSK von it213.int (privat) → RRSIG.
* Der Resolver:
*# holt A-Record und RRSIG
*# berechnet selbst den Hash des A-Records
*# entschlüsselt die Signatur mit dem ZSK von it213.int (öffentlich)
*# vergleicht beide Werte – stimmen sie überein → A-Record authentisch und unmanipuliert

==Begriffe==
; DS (Delegation Signer): Hash des öffentlichen KSK der Kind-Zone, hinterlegt in der Eltern-Zone.
; KSK (Key Signing Key): Signiert nur den DNSKEY-RRset (die Schlüssel selbst).
; ZSK (Zone Signing Key): Signiert die eigentlichen Nutzdaten (A, AAAA, MX usw.).
; RRSIG: Digitale Signatur für einen Resource Record Set.
; Trust Anchor: Öffentlicher KSK, dem der Resolver blind vertraut – Startpunkt der Kette.

==DNSSEC manuell prüfen mit dig==

===Trust Anchor prüfen===
<pre>dig int DNSKEY +dnssec</pre>
Zeigt den DNSKEY der .int-Zone. Das '''ad'''-Flag im Header zeigt an, dass der lokale Resolver DNSSEC validiert.

===DS-Record für it213.int prüfen===
<pre>dig it213.int DS +dnssec</pre>
Zeigt den DS-Record, der in der .int-Zone hinterlegt ist.

===DNSKEY von it213.int prüfen===
<pre>dig it213.int DNSKEY +dnssec</pre>
Zwei Keys erwartet: KSK (Flag 257) und ZSK (Flag 256).

===A-Record und Signatur prüfen===
<pre>dig mail.it213.int A +dnssec</pre>
In der ANSWER SECTION erscheinen A-Record und RRSIG direkt darunter.

===Komplette Kette verfolgen===
<pre>dig mail.it213.int A +trace +dnssec</pre>
Zeigt die Delegation Schritt für Schritt von .int abwärts.

@@ Zeile 10: / Zeile 10: @@
 ==Kurz und knapp==
-*Chain of Trust → bestätigt KSK → KSK bestätigt ZSK → ZSK bestätigt Nutzdaten
+;Chain of Trust → bestätigt KSK → KSK bestätigt ZSK → ZSK bestätigt Nutzdaten
 *KSK - signiert nur die Schlüssel (DNSKEY-Record) der eigenen Zone
 *ZSK - signiert die Nutzdaten (A, AAAA, MX usw.) der eigenen Zone

@@ Zeile 10: / Zeile 10: @@
 ==Kurz und knapp==
 *KSK - signiert nur die Schlüssel (DNSKEY-Record) der eigenen Zone
 *ZSK - signiert die Nutzdaten (A, AAAA, MX usw.) der eigenen Zone

@@ Zeile 61: / Zeile 61: @@
 Die Vertrauenskette hat dadurch nur noch '''vier Schritte''':
 {| class="wikitable"
@@ Zeile 99: / Zeile 143: @@
 ===Schritt 2: DNSKEY von .int – ZSK von .int vertrauen===
 * Der Resolver holt den DNSKEY-Record der .int-Zone – dieser enthält den <span style="color:#007BFF;">KSK von .int (öffentlich)</span> und den <span style="color:#FF0000;">ZSK von .int (öffentlich)</span>.
 * Der <span style="color:#008000;">KSK von .int (privat)</span> hat diesen DNSKEY-Record signiert → RRSIG.
 * Der Resolver:
@@ Zeile 117: / Zeile 162: @@
 ===Schritt 4: DNSKEY von it213.int – ZSK von it213.int vertrauen===
-* it213.int veröffentlicht einen DNSKEY-Record mit dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> und dem <span style="color:#FF0000;">ZSK von it213.int (öffentlich)</span>.
+* Der Resolver holt den DNSKEY-Record von it213.int – dieser enthält den <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> und den <span style="color:#FF0000;">ZSK von it213.int (öffentlich)</span>.
 * Der <span style="color:#008000;">KSK von it213.int (privat)</span> hat diesen DNSKEY-Record signiert → RRSIG.
 * Der Resolver:
-*# holt DNSKEY-Record und RRSIG von it213.int
+*# entschlüsselt die Signatur des DNSKEY-Records mit dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> (bereits vertraut aus Schritt 3)
 *# berechnet selbst den Hash über den DNSKEY-Record
 *# vergleicht beide Werte – stimmen sie überein → DNSKEY-Record authentisch
@@ Zeile 133: / Zeile 178: @@
 *# entschlüsselt die Signatur mit dem <span style="color:#007BFF;">ZSK von it213.int (öffentlich)</span>
 *# vergleicht beide Werte – stimmen sie überein → A-Record authentisch und unmanipuliert
 ==Begriffe==

@@ Zeile 14: / Zeile 14: @@
 * Die Root-Zone und TLD-Validierung entfallen damit vollständig.
-Die Vertrauenskette hat dadurch nur noch '''drei Stufen''':
+Die Vertrauenskette hat dadurch nur noch '''vier Schritte''':
 {| class="wikitable"
-! Stufe !! Vertrauens-Objekt !! Validiert durch
+! Schritt !! Aktion !! Signiert/Geprüft mit
 |-
-| '''Trust Anchor'''
+| '''1'''
-| KSK von .int (öffentlich)
+| Trust Anchor: KSK von .int (öffentlich) ist fest im Resolver hinterlegt
-| Fest im Resolver hinterlegt
+| –
 |-
-| '''Delegation'''
+| '''2'''
-| DS-Record für it213.int
+| Resolver holt DNSKEY von .int → ZSK von .int (öffentlich) wird vertraut
-| Signiert vom ZSK von .int (privat)
+| Signiert vom KSK von .int (privat) → geprüft mit Trust Anchor
 |-
-| '''Domain-Schlüssel'''
+| '''3'''
-| DNSKEY von it213.int
+| Resolver holt DS-Record für it213.int → KSK von it213.int (öffentlich) wird vertraut
-| KSK von it213.int durch DS bestätigt → ZSK von it213.int vertraut
+| Signiert vom ZSK von .int (privat) → geprüft mit ZSK von .int (öffentlich)
 |-
-| '''Nutzdaten'''
+| '''4'''
-| RRSIG des A-Records mail.it213.int
+| Resolver holt DNSKEY von it213.int → ZSK von it213.int (öffentlich) wird vertraut
-| Signiert vom ZSK von it213.int (privat)
+| Signiert vom KSK von it213.int (privat) → geprüft mit KSK von it213.int (öffentlich)
 |}
@@ Zeile 43: / Zeile 47: @@
 ==Ablauf der Validierung==
-===Schritt 1: Trust Anchor – .int===
+===Schritt 1: Trust Anchor – KSK von .int===
-* Der Resolver kennt den <span style="color:#007BFF;">KSK von .int (öffentlich)</span> als Trust Anchor.
+* Der Resolver hat den <span style="color:#007BFF;">KSK von .int (öffentlich)</span> fest hinterlegt (z. B. in BIND oder Unbound als '''trusted-keys''' bzw. '''trust-anchor''').
-* Dieser ist fest im Resolver hinterlegt (z. B. in BIND oder Unbound als '''trusted-keys''' bzw. '''trust-anchor''').
+* Dieser ist der Startpunkt der Vertrauenskette – er wird nicht aus dem Netz geholt, sondern ist bereits bekannt und vertraut.
-===Schritt 2: Delegation – DS-Record für it213.int===
+===Schritt 2: DNSKEY von .int – ZSK von .int vertrauen===
-* Die .int-Zone veröffentlicht einen DNSKEY-Record mit dem <span style="color:#007BFF;">KSK von .int (öffentlich)</span> und dem <span style="color:#FF0000;">ZSK von .int (öffentlich)</span>.
+* Der Resolver holt den DNSKEY-Record der .int-Zone – dieser enthält den <span style="color:#007BFF;">KSK von .int (öffentlich)</span> und den <span style="color:#FF0000;">ZSK von .int (öffentlich)</span>.
-* Der <span style="color:#008000;">KSK von .int (privat)</span> signiert diesen DNSKEY-Record → RRSIG.
+* Der <span style="color:#008000;">KSK von .int (privat)</span> hat diesen DNSKEY-Record signiert → RRSIG.
-* Der Resolver prüft diesen DNSKEY-Record mit dem bereits vertrauten <span style="color:#007BFF;">KSK von .int (öffentlich)</span>.
+* Der Resolver:
 * Der Resolver vertraut nun dem <span style="color:#007BFF;">ZSK von .int (öffentlich)</span>.
 * Die .int-Zone enthält einen DS-Record für it213.int – dieser enthält den Hash des <span style="color:#FF0000;">KSK von it213.int (öffentlich)</span>.
-* Der <span style="color:#008000;">ZSK von .int (privat)</span> signiert diesen DS-Record → RRSIG.
+* Der <span style="color:#008000;">ZSK von .int (privat)</span> hat diesen DS-Record signiert → RRSIG.
 * Der Resolver:
 *# holt DS-Record und RRSIG aus der .int-Zone
@@ Zeile 63: / Zeile 70: @@
 * Der Resolver vertraut nun dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span>.
-===Schritt 3: Domain-Schlüssel – DNSKEY von it213.int===
+===Schritt 4: DNSKEY von it213.int – ZSK von it213.int vertrauen===
-* it213.int veröffentlicht seinen DNSKEY-Record mit dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> und dem <span style="color:#FF0000;">ZSK von it213.int (öffentlich)</span>.
+* it213.int veröffentlicht einen DNSKEY-Record mit dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> und dem <span style="color:#FF0000;">ZSK von it213.int (öffentlich)</span>.
-* Der <span style="color:#008000;">KSK von it213.int (privat)</span> signiert den DNSKEY-Record → RRSIG.
+* Der <span style="color:#008000;">KSK von it213.int (privat)</span> hat diesen DNSKEY-Record signiert → RRSIG.
 * Der Resolver:
 *# holt DNSKEY-Record und RRSIG von it213.int
-*# entschlüsselt die Signatur mit dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> (bereits vertraut aus Schritt 2)
+*# entschlüsselt die Signatur mit dem <span style="color:#007BFF;">KSK von it213.int (öffentlich)</span> (bereits vertraut aus Schritt 3)
 *# berechnet selbst den Hash über den DNSKEY-Record
 *# vergleicht beide Werte – stimmen sie überein → DNSKEY-Record authentisch
 * Der Resolver vertraut nun dem <span style="color:#007BFF;">ZSK von it213.int (öffentlich)</span>.
-===Schritt 4: Nutzdaten – A-Record mail.it213.int===
+===Schritt 5: A-Record mail.it213.int – Nutzdaten prüfen===
-* Der autoritative Nameserver von it213.int signiert den A-Record mit dem <span style="color:#008000;">ZSK von it213.int (privat)</span> → RRSIG.
+* Der autoritative Nameserver von it213.int hat den A-Record von mail.it213.int mit dem <span style="color:#008000;">ZSK von it213.int (privat)</span> signiert → RRSIG.
 * Der Resolver:
 *# holt A-Record und RRSIG von it213.int
@@ Zeile 83: / Zeile 90: @@
 ==Begriffe==
 ; DS (Delegation Signer): Hash des öffentlichen KSK der Kind-Zone, hinterlegt in der Eltern-Zone.
-; KSK (Key Signing Key): Signiert nur den DNSKEY-RRset der eigenen Zone (die Schlüssel selbst).
+; KSK (Key Signing Key): Signiert nur den DNSKEY-RRset der eigenen Zone.
 ; ZSK (Zone Signing Key): Signiert die eigentlichen Nutzdaten der eigenen Zone (A, AAAA, MX usw.).
 ; RRSIG: Digitale Signatur für einen Resource Record Set.
@@ Zeile 90: / Zeile 97: @@
 ==DNSSEC manuell prüfen mit dig==
-===Trust Anchor und DNSKEY von .int prüfen===
+===DNSKEY von .int prüfen===
 <pre>dig int DNSKEY +dnssec</pre>
-Zeigt den DNSKEY-Record der .int-Zone mit KSK von .int (öffentlich) und ZSK von .int (öffentlich). Das '''ad'''-Flag im Header zeigt an, dass der lokale Resolver DNSSEC validiert.
+Zeigt den DNSKEY-Record der .int-Zone mit <span style="color:#007BFF;">KSK von .int (öffentlich)</span> (Flag 257) und <span style="color:#007BFF;">ZSK von .int (öffentlich)</span> (Flag 256). Das '''ad'''-Flag im Header zeigt an, dass der lokale Resolver DNSSEC validiert.
 ===DS-Record für it213.int prüfen===

@@ Zeile 8: / Zeile 8: @@
 * Dieser Beitrag enthält eine Rahmenhandlung.
 {{#Drawio:sig-test}}
 ==Szenario im Lab==

@@ Zeile 1: / Zeile 1: @@
 ==Grundlegendes==
 * DNSSEC ergänzt DNS um kryptografische Signaturen.
@@ Zeile 191: / Zeile 99: @@
 <pre>dig int DNSKEY +dnssec</pre>
 Zeigt den DNSKEY-Record der .int-Zone mit KSK von .int (Flag 257) und ZSK von .int (Flag 256). Das '''ad'''-Flag im Header zeigt an, dass der lokale Resolver DNSSEC validiert.
 ===DS-Record für it213.int prüfen===