DNSSEC ergänzt Ursprungsprüfungen, die HTTPS allein nicht leisten kann

DNSSEC ergänzt eine Ebene der Ursprungsauthentifizierung, die HTTPS allein nicht bieten kann. Dies geht aus einer deSEC-Analyse hervor, die APNIC am 3. November 2026 erörterte. DNSSEC, kurz für Domain Name System Security Extensions, ermöglicht einem System zu überprüfen, ob signierte DNS-Informationen vom Domain-Betreiber stammen und auf dem Weg nicht verändert wurden. Das ist wichtig, weil DNS, das Domain Name System, das einen Website-Namen in das von Computern verwendete Ziel umwandelt, abgefragt wird, bevor ein Browser mit der Überprüfung der verschlüsselten Verbindung einer Website beginnen kann.

Die bei CircleID veröffentlichte Analyse untersucht wiederkehrende Behauptungen über DNSSEC, darunter seine betriebliche Komplexität, die unvollständige Einführung und seinen breiteren gesellschaftlichen Nutzen. APNIC hebt die IANIX-Liste als wichtigen Bestandteil dieser Diskussion hervor. IANIX ist ein aktiv gepflegter record zu DNSSEC-bezogenen Ausfällen im gesamten Domain-Name-System. Er zeigt, dass Konfigurations- und Betriebsfehler ein echtes Problem und kein hypothetischer Einwand sind. deSEC hat zuvor außerdem key drift zwischen parent und child domains erörtert, bei dem zusammengehörige DNSSEC-Informationen nicht mehr übereinstimmen, sowie post-quantum cryptography in DNSSEC. Dabei geht es um Methoden, die auch gegen künftige Angriffe mithilfe von Quantencomputern sicher bleiben sollen.

Ein häufiges Argument lautet, HTTPS schütze Websites bereits und mache DNSSEC daher überflüssig. HTTPS verwendet TLS, also Transport Layer Security, um die Verbindung eines Browsers zu verschlüsseln und den Server mithilfe eines digitalen Zertifikats zu authentifizieren. Der Browser muss jedoch zuerst DNS verwenden, um zu erfahren, wohin er eine Verbindung herstellen soll. TLS schützt somit eine Verbindung zu dem Endpoint, den der Browser erreicht, während DNSSEC dabei hilft, die signierten DNS data zu überprüfen, die überhaupt erst zum Auffinden dieses Endpoint verwendet wurden. Die beiden Mechanismen schützen unterschiedliche Teile des Weges.

Wenn ein Vermittler eine ungeschützte DNS query umleitet, kann der Nutzer an ein anderes Ziel geschickt werden, bevor der Browser ein TLS-Zertifikat überprüft. In der Erörterung von APNIC wird darauf hingewiesen, dass ein Angreifer möglicherweise dennoch eine TLS-Verbindung herstellen kann, die durch eine certificate authority gestützt wird, sofern certificate pinning nicht konsequent durchgesetzt wird. certificate pinning ist eine Methode, bei der eine Anwendung ein bestimmtes Zertifikat oder eine bestimmte Identität erwartet, statt jedes ansonsten als vertrauenswürdig geltende Zertifikat zu akzeptieren. Ein Browser kann dann eine verschlüsselte Verbindung anzeigen, obwohl der Nutzer nicht am beabsichtigten Ziel angekommen ist.

Homograph attacks eröffnen einen weiteren Weg für Täuschungen. Dabei werden optisch ähnliche Zeichen verwendet, damit ein Domain-Name wie ein anderer aussieht. Dies erschwert es einer Person zu erkennen, wohin eine Verbindung führt. HTTPS kann die tatsächlich geöffnete ähnlich aussehende Domain authentifizieren, doch dadurch wird sie nicht zu der Domain, die der Nutzer besuchen wollte. DNSSEC ersetzt keine sorgfältige Prüfung von Adressen, liefert aber einen überprüfbaren Nachweis für signierte data, die von einem Domain-Registrant veröffentlicht wurden, also von der Person oder Organisation, welche die Registrierung kontrolliert.

Diese authentifizierten DNS data können auch andere Sicherheitssysteme unterstützen. Die deSEC-Analyse nennt DANE, also DNS-based Authentication of Named Entities, als eine Anwendung, die DNSSEC-validierte records verwenden kann, um Dienste mit Zertifikatsinformationen zu verknüpfen. Sie verweist außerdem auf CAA, also Certification Authority Authorization. Damit kann eine Domain veröffentlichen, welche certificate authorities Zertifikate für sie ausstellen dürfen. Das zentrale Argument lautet, dass DNSSEC unabhängig von einer bestimmten Anwendung oder Bereitstellungsmethode eine Vertrauensgrundlage schafft, statt mit HTTPS um dieselbe Aufgabe zu konkurrieren.

Die Analyse befasst sich zudem mit zwei allgemeineren Einwänden. Einer davon ist die Befürchtung, eine hierarchische Vertrauensstruktur könne eine staatliche Kontrolle des Zugangs zu Informationen von oben nach unten ermöglichen. APNIC erkennt an, dass die staatliche Kontrolle des Internetzugangs für viele Menschen zur realen Erfahrung gehört. Die Organisation argumentiert jedoch, dass rechtliche Beschränkungen für Websites, Inhalte und Onlinedienste aus umfassenderen rechtlichen und gesellschaftlichen Systemen hervorgehen, unabhängig davon, ob DNSSEC vorhanden ist. Eine Ablehnung von DNSSEC würde diese Kontrollen allein nicht beseitigen.

Der andere Einwand betrifft die unvollständige Einführung. Eine teilweise Bereitstellung begrenzt die Zahl der Domains, für die eine vollständige chain signierter Informationen validiert werden kann. Ein Verzicht auf die Bereitstellung kann diese Einschränkung jedoch nicht lösen. APNIC vergleicht den langwierigen Einführungsprozess mit IPv6 und Resource Public Key Infrastructure beziehungsweise RPKI, einem System zur Authentifizierung der Netzwerke, die bestimmte Internet-Routen ankündigen dürfen. Technologien dieser Art benötigen möglicherweise viel Zeit, um eine nützliche Verbreitung und eine kritische Masse zu erreichen.

Der deSEC-Artikel schließt mit mehr als 60 Unterstützungsbekundungen von Fachleuten aus den Bereichen DNS providers, registries, registrars, Aufsichtsorganisationen, Forschung und Standardisierungsarbeit. Solche Unterstützungsbekundungen beseitigen weder die Komplexität von DNSSEC noch das Ausfallrisiko. Sie zeigen jedoch, dass die Unterstützung aus mehreren Bereichen des DNS-Ökosystems kommt. Die praktische Schlussfolgerung lautet nicht, dass DNSSEC TLS, Zertifikate oder eine solide Domain-Verwaltung ersetzt. Vielmehr schützt jede dieser Maßnahmen ein anderes Glied in der chain, die einen Nutzer von einem eingegebenen Namen zu einem authentifizierten Dienst führt.

Für Leser, die außerdem einen privaten DNS-Dienst wünschen, bietet AEU DNS privates, sicheres DNS für alle. DNSSEC bleibt dabei der separate Mechanismus zur Authentifizierung signierter DNS-Informationen. Website-Betreiber sollten DNSSEC als betriebliche Sicherheitsfunktion betrachten, die eine korrekte Einrichtung und fortlaufende Aufmerksamkeit erfordert, und nicht als Schalter, der einmal aktiviert und anschließend vergessen werden kann.