Dnssec Ablauf 1: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(11 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
−
= Validierung des DS-Records für .net =
+
= DNSSEC-Validierung für dnssec.net =
  
−
== Frage des Resolvers ==
+
== Einleitung ==
−
* Ein Resolver fragt nach einer Domain, z. B. ''www.dnssec.net''.
+
* DNSSEC (Domain Name System Security Extensions) sorgt für die Authentifizierung und Integrität von DNS-Daten.
 +
* Der Prozess umfasst mehrere Schritte, beginnend bei der Root-Zone bis hin zu den Nameservern der spezifischen Domain.
  
−
== Der Root-Nameserver liefert den DS-Record für .net ==
+
== Anfrage beim Root-Nameserver ==
−
* Der DS-Record (Delegation Signer) ist ein spezieller DNS-Eintrag, der in der Root-Zone gespeichert ist.
+
* Der Resolver fragt die Root-Nameserver nach der Delegation für .net.
−
* Er enthält einen kryptografischen Hash (z. B. SHA-256) des öffentlichen Schlüssels (DNSKEY) der .net-Zone.
+
* Die Antwort enthält:
−
* Der DS-Record dient als "Vertrauensanker" zwischen der Root-Zone und der .net-Zone.
+
** Einen Verweis auf die autoritativen Nameserver der .net-Zone.
 +
** Einen DS-Record für .net (enthält den Hash-Wert des öffentlichen KSK der .net-Zone).
 +
** Eine RRSIG-Signatur für den DS-Record, die mit dem privaten KSK der Root-Zone erstellt wurde.
 +
** Den DNSKEY der Root-Zone, der den öffentlichen KSK und ZSK der Root-Zone enthält.
  
−
== Der DS-Record hat eine RRSIG-Signatur ==
+
== Validierung des DS-Records ==
−
* Der DS-Record ist mit einer RRSIG (Resource Record Signature) signiert.
+
* Der Resolver validiert den DS-Record, indem er:
−
* Diese Signatur wird mit dem privaten ZSK (Zone Signing Key) der Root-Zone erstellt.
+
** Den Hash-Wert des DS-Records berechnet.
−
* Die RRSIG enthält Metadaten wie:
+
** Die RRSIG-Signatur des DS-Records mit dem öffentlichen KSK der Root-Zone verifiziert.
−
** Den verwendeten Signaturalgorithmus (z. B. RSA/SHA-256).
 
−
** Das Gültigkeitsdatum der Signatur (Start- und Endzeitpunkt).
 
−
** Den Namen des Signers (in diesem Fall die Root-Zone).
 
−
 
 
−
== Der Resolver nutzt den öffentlichen ZSK der Root-Zone ==
 
−
* Der Resolver verwendet den öffentlichen ZSK der Root-Zone, um die RRSIG-Signatur des DS-Records zu überprüfen.
 
−
* Der öffentliche ZSK ist im Vorhinein bekannt und wird zur Authentizitätsprüfung verwendet.
 
−
 
 
−
== Überprüfung der Signatur ==
 
−
* Der Resolver überprüft die RRSIG-Signatur, indem er:
 
−
** Den Hashwert des DS-Records berechnet.
 
−
** Die Signatur mit dem öffentlichen ZSK der Root-Zone entschlüsselt.
 
−
** Die beiden Werte vergleicht.
 
 
* Wenn die Signatur gültig ist:
 
* Wenn die Signatur gültig ist:
−
** Der DS-Record ist authentisch und wurde nicht manipuliert.
+
** Der DS-Record wird als authentisch betrachtet.
−
** Die DNSSEC-Vertrauenskette ist intakt.
+
** Die DNSSEC-Vertrauenskette wird fortgesetzt.
  
 
== Anfrage bei den .net-Nameservern ==
 
== Anfrage bei den .net-Nameservern ==
 
* Nach erfolgreicher Validierung des DS-Records fragt der Resolver die .net-Nameserver an.
 
* Nach erfolgreicher Validierung des DS-Records fragt der Resolver die .net-Nameserver an.
−
* Der Resolver fordert den DNSKEY der .net-Zone an, um die Authentizität weiterer DNS-Antworten zu überprüfen.
+
* Der Resolver fordert den DNSKEY-Record der .net-Zone an, der den öffentlichen KSK und ZSK der .net-Zone enthält.
 +
* Der Resolver überprüft die Signatur des DNSKEY-Records mit dem öffentlichen KSK der Root-Zone.
  
 
== Validierung des DNSKEY der .net-Zone ==
 
== Validierung des DNSKEY der .net-Zone ==
−
* Der DNSKEY der .net-Zone ist mit einer RRSIG signiert, die mit dem privaten KSK (Key Signing Key) der .net-Zone erstellt wurde.
+
* Der DNSKEY der .net-Zone ist mit einer RRSIG-Signatur signiert, die mit dem privaten KSK der .net-Zone erstellt wurde.
−
* Der Resolver verwendet den öffentlichen KSK der .net-Zone, um die RRSIG des DNSKEY zu überprüfen.
+
* Der Resolver überprüft die Signatur mit dem öffentlichen KSK der Root-Zone.
 
* Wenn die Signatur gültig ist:
 
* Wenn die Signatur gültig ist:
−
** Der DNSKEY ist authentisch.
+
** Der DNSKEY der .net-Zone ist authentisch.
−
** Der Resolver kann jetzt die DNSSEC-Validierung für die Domain ''dnssec.net'' fortsetzen.
+
** Die DNSSEC-Vertrauenskette wird fortgesetzt.
  
 
== Anfrage bei den dnssec.net-Nameservern ==
 
== Anfrage bei den dnssec.net-Nameservern ==
−
* Der Resolver fragt die Nameserver (NS) von ''dnssec.net'' an, um die IP-Adresse von ''www.dnssec.net'' zu erhalten.
+
* Der Resolver fragt die autoritativen Nameserver von dnssec.net nach der IP-Adresse von www.dnssec.net.
−
* Die Antwort der dnssec.net-Nameserver enthält einen A-Record (oder AAAA für IPv6) sowie eine RRSIG-Signatur.
+
* Die Antwort enthält:
−
* Der Resolver verwendet den öffentlichen Schlüssel (DNSKEY) der .net-Zone, um die RRSIG der Antwort zu überprüfen.
+
** Einen A-Record (oder AAAA für IPv6).
 +
** Eine RRSIG-Signatur für die Antwort.
 +
 
 +
== Validierung der Antwort ==
 +
* Die RRSIG-Signatur der Antwort wurde mit dem privaten ZSK der dnssec.net-Zone erstellt.
 +
* Der Resolver verwendet den zuvor validierten öffentlichen DNSKEY der dnssec.net-Zone, um die Signatur zu überprüfen.
 
* Wenn die Signatur gültig ist:
 
* Wenn die Signatur gültig ist:
 
** Die Antwort ist authentisch und wurde nicht manipuliert.
 
** Die Antwort ist authentisch und wurde nicht manipuliert.
−
** Der Resolver liefert die IP-Adresse an den Client zurück.
+
** Der Resolver gibt die IP-Adresse an den Client zurück.
  
 
== Zusammenfassung ==
 
== Zusammenfassung ==
−
* Die Validierung des DS-Records für .net ist der erste Schritt in der DNSSEC-Vertrauenskette.
+
* DNSSEC validiert jede Zone schrittweise mit kryptografischen Signaturen.
−
* Der Prozess setzt sich fort, bis die Antwort der Nameserver von ''dnssec.net'' validiert ist.
+
* Die Validierung beginnt in der Root-Zone mit dem DNSKEY der Root-Zone.
 +
* Jeder nachfolgende Schritt wird mit dem übergeordneten Schlüssel validiert.
 
* DNSSEC stellt sicher, dass die DNS-Antworten authentisch und nicht manipuliert sind.
 
* DNSSEC stellt sicher, dass die DNS-Antworten authentisch und nicht manipuliert sind.

Aktuelle Version vom 17. März 2025, 21:29 Uhr

DNSSEC-Validierung für dnssec.net

Einleitung

  • DNSSEC (Domain Name System Security Extensions) sorgt für die Authentifizierung und Integrität von DNS-Daten.
  • Der Prozess umfasst mehrere Schritte, beginnend bei der Root-Zone bis hin zu den Nameservern der spezifischen Domain.

Anfrage beim Root-Nameserver

  • Der Resolver fragt die Root-Nameserver nach der Delegation für .net.
  • Die Antwort enthält:
    • Einen Verweis auf die autoritativen Nameserver der .net-Zone.
    • Einen DS-Record für .net (enthält den Hash-Wert des öffentlichen KSK der .net-Zone).
    • Eine RRSIG-Signatur für den DS-Record, die mit dem privaten KSK der Root-Zone erstellt wurde.
    • Den DNSKEY der Root-Zone, der den öffentlichen KSK und ZSK der Root-Zone enthält.

Validierung des DS-Records

  • Der Resolver validiert den DS-Record, indem er:
    • Den Hash-Wert des DS-Records berechnet.
    • Die RRSIG-Signatur des DS-Records mit dem öffentlichen KSK der Root-Zone verifiziert.
  • Wenn die Signatur gültig ist:
    • Der DS-Record wird als authentisch betrachtet.
    • Die DNSSEC-Vertrauenskette wird fortgesetzt.

Anfrage bei den .net-Nameservern

  • Nach erfolgreicher Validierung des DS-Records fragt der Resolver die .net-Nameserver an.
  • Der Resolver fordert den DNSKEY-Record der .net-Zone an, der den öffentlichen KSK und ZSK der .net-Zone enthält.
  • Der Resolver überprüft die Signatur des DNSKEY-Records mit dem öffentlichen KSK der Root-Zone.

Validierung des DNSKEY der .net-Zone

  • Der DNSKEY der .net-Zone ist mit einer RRSIG-Signatur signiert, die mit dem privaten KSK der .net-Zone erstellt wurde.
  • Der Resolver überprüft die Signatur mit dem öffentlichen KSK der Root-Zone.
  • Wenn die Signatur gültig ist:
    • Der DNSKEY der .net-Zone ist authentisch.
    • Die DNSSEC-Vertrauenskette wird fortgesetzt.

Anfrage bei den dnssec.net-Nameservern

  • Der Resolver fragt die autoritativen Nameserver von dnssec.net nach der IP-Adresse von www.dnssec.net.
  • Die Antwort enthält:
    • Einen A-Record (oder AAAA für IPv6).
    • Eine RRSIG-Signatur für die Antwort.

Validierung der Antwort

  • Die RRSIG-Signatur der Antwort wurde mit dem privaten ZSK der dnssec.net-Zone erstellt.
  • Der Resolver verwendet den zuvor validierten öffentlichen DNSKEY der dnssec.net-Zone, um die Signatur zu überprüfen.
  • Wenn die Signatur gültig ist:
    • Die Antwort ist authentisch und wurde nicht manipuliert.
    • Der Resolver gibt die IP-Adresse an den Client zurück.

Zusammenfassung

  • DNSSEC validiert jede Zone schrittweise mit kryptografischen Signaturen.
  • Die Validierung beginnt in der Root-Zone mit dem DNSKEY der Root-Zone.
  • Jeder nachfolgende Schritt wird mit dem übergeordneten Schlüssel validiert.
  • DNSSEC stellt sicher, dass die DNS-Antworten authentisch und nicht manipuliert sind.
Abgerufen von „http://wiki.ixheim.de/index.php?title=Dnssec_Ablauf_1&oldid=60230“