NLnet Labs veröffentlicht Cascade Beta 1: Versteckter DNSSEC-Signer für öffentliche Tests

NLnet Labs hat die erste Beta-Version von Cascade, seinem neuen zweckgebauten versteckten DNSSEC-Signer, für öffentliche Tests freigegeben. Die Veröffentlichung mit dem Codenamen „Slàinte mhath“ wurde am 5. Juni 2026 angekündigt, nachdem sie auf dem DNS-OARC-46-Treffen in Edinburgh im Mai vorab gezeigt wurde. Cascade wurde entwickelt, um DNS-Zonendaten automatisch mit DNSSEC-Signaturen zu versehen, ohne dass Betreiber den Signiervorgang manuell verwalten müssen. Das Projektteam beschreibt diese Beta als die erste einer Reihe von Veröffentlichungen, die die verbleibenden Funktionen für den Produktionseinsatz hinzufügen werden, und sucht aktiv Feedback von der Community über ihr Forum und GitHub, wobei Codeberg später in diesem Jahr nach der Migration folgen soll.

Cascade wird entwickelt, weil der bestehende Open-Source-Signer OpenDNSSEC im Oktober 2027 das Ende seiner Lebensdauer erreichen wird. Bis zu diesem Datum erhält OpenDNSSEC nur noch kritische Fehlerbehebungen und Sicherheitsupdates, keine neuen Funktionen. Cascade verfolgt denselben allgemeinen Ansatz wie OpenDNSSEC: Es ist ein versteckter Signer im Bypass-Modus, das heißt, es sitzt zwischen der autoritativen DNS-Datenquelle und dem öffentlichen DNS und fügt transparent DNSSEC-Signaturen hinzu. Cascade ist jedoch in Rust geschrieben, einer speichersicheren Programmiersprache, und wurde mit Blick auf moderne Betriebsanforderungen entwickelt, einschließlich fein abgestufter Beobachtbarkeit. Die Entwickler haben Erkenntnisse aus OpenDNSSEC angewendet, sinnvolle Standardeinstellungen basierend auf aktuellen Best Practices verwendet und eine neue Befehlszeilenschnittstelle bereitgestellt, die klar, transparent und einfach sein soll. Cascade bietet auch integrierte Hook-Funktionen für die Vorab-Überprüfung und Vorab-Veröffentlichung. Die Entwicklung im vergangenen Jahr wurde durch Zuschüsse der Sovereign Tech Agency und des Nominet DNS Fund unterstützt, und das Projekt soll sich durch Supportvereinbarungen mit Organisationen, die Cascade in kritischer Infrastruktur betreiben, selbst tragen.

Die Beta-Version ist nicht abwärtskompatibel mit den früheren Alpha-Versionen, daher müssen bestehende Tester ihre aktuelle Installation sichern und neu beginnen. Im Vergleich zur letzten Alpha (Alpha 5) enthält die Beta etwa 1,5-mal so viele Zeilen Rust-Code, 1,75-mal so viel Endbenutzerdokumentation, 2.000 neue Zeilen Integrationstestcode, 221 zusammengeführte Pull-Requests und 114 geschlossene Issues. Sieben Mitwirkende haben 251 Dateien in 363 Commits bearbeitet. Insgesamt wurden 125 Dateien geändert, mit 7.302 hinzugefügten und 5.882 gelöschten Zeilen, und 47 Dateien wurden entfernt. Die bedeutendste interne Änderung ist eine vollständige Neufassung des Kerns von Cascade. Die frühere Ereignis-Produzent-Konsument-Architektur wurde durch eine zustandsmaschinenbasierte Architektur ersetzt, die jede Zonen-Pipeline jederzeit in einem einzigen konsistenten Zustand hält. Dies behebt die Probleme mit inkonsistenten Zuständen, die in den Alpha-Versionen beobachtet wurden.

Die neuen Funktionen in Beta 1 decken mehrere wichtige operative Bereiche ab. Inkrementelles Signieren funktioniert jetzt sofort, was bedeutet, dass Cascade bei Änderungen an einer Zone nur die DNSSEC-Signaturen neu generiert, die tatsächlich geändert werden müssen, anstatt die gesamte Zone jedes Mal neu zu signieren. Dies reduziert die Last auf einem Hardware-Sicherheitsmodul (HSM) und erzeugt viel kleinere Aktualisierungsmeldungen für nachgelagerte Nameserver. In einem Timing-Beispiel dauerte das vollständige Signieren einer Zone mit 21.587.503 Datensätzen knapp eine Minute, während eine anschließende inkrementelle Neusignierung nur 39 Sekunden dauerte. Sofern ein Betreiber nicht die Richtlinie „keep“ für die Seriennummer wählt, signiert Cascade Teile einer Zone automatisch in Stufen in regelmäßigen Abständen neu, um Signaturen frisch zu halten, und verteilt die Arbeitslast deterministisch, anstatt zufälliges Jitter hinzuzufügen. Cascade Beta persistiert auch generierte IXFR-Diffs und die gesamte signierte Zone auf der Festplatte, sodass ein Neustart nachgelagerte Nameserver nicht dazu zwingt, die gesamte Zone erneut per AXFR zu holen. Unterstützung für TSIG-Nachrichtenauthentifizierung wurde sowohl für eingehende als auch für ausgehende Zonentransfers hinzugefügt, sodass Betreiber den Zugriff auf bekannte Parteien beschränken können. Cascade kann jetzt Downstream-IXFR bedienen, nicht nur Upstream-IXFR empfangen, und es hat eine bessere Kompatibilität mit BIND-Nameservern, wobei DNS-NOTIFY-Probleme behoben wurden. Die Beta fügt auch Unterstützung für das Parsen von Zonendateien hinzu, die Datensatztypen wie IPSECKEY, RP, OPENPGPKEY, SSHFP und TLSA enthalten. Die Überprüfungsfunktion wurde erweitert: Die Richtlinieneinstellungen wurden durch eine klarere Option review.mode (off, manual oder script) ersetzt, eine neue Einstellung review.on-reject ermöglicht es einem Betreiber, anzuhalten und eine Zone manuell zu inspizieren, die ein Skript ablehnt, und ein neuer Befehl cascade zone maintenance enable blockiert neue Operationen, während laufende Arbeiten abgeschlossen werden können. Schließlich stellt die Beta eine grundlegende Reihe von Prometheus-Metriken bereit, darunter Messwerte für die Anzahl der konfigurierten, geladenen und aktiven Zonen.

Für kleinere, selten wechselnde Zonen wie cascade.nlnetlabs.nl ist die Beta bereits besser als die Alpha-Serie und für eine Testumgebung gut genug. Das Team von NLnet Labs betreibt sie selbst in Produktion, rät anderen jedoch noch nicht dazu. Für größere oder sich schnell ändernde Zonen bleibt noch Arbeit übrig. Bekannte Lücken sind hoher Speicherverbrauch beim inkrementellen Signieren, langsameres anfängliches vollständiges Zonensignieren und HSM-Signieren als in der Alpha (parallelisiertes Signieren wurde noch nicht wiederhergestellt) sowie die Ansammlung von Downstream-IXFR-Diffs ohne Bereinigungsmechanismus, was den Festplatten- und Speicherverbrauch erhöhen wird, bis eine spätere Beta-Version die Bereinigung hinzufügt. Die Entwickler betonen, dass die Produktionsreife kommt: Die Kernarchitektur ist jetzt solide, und das engagierte Team kann sich darauf konzentrieren, die verbleibenden Lücken zu schließen. Die Roadmap umfasst mehr Tests, Verbesserungen der Dokumentation, Bereinigung alter IXFR-Diffs, Hinzufügen fehlender CLI-Befehle wie cascade hsm remove, Reduzierung des Speicherverbrauchs, Erweiterung der Prometheus-Metriken, erneutes Parallelisieren des vollständigen Zonensignierens, Verbesserung der Migration von bestehenden Signier-Setups und mehr Einblick in die aktuellen und zukünftigen Aktionen von Cascade. Für Website-Besitzer und IT-Teams, die diese Entwicklung verfolgen, kann die Verwendung eines datenschutzorientierten verschlüsselten DNS-Resolvers wie AEU DNS dazu beitragen, dass DNSSEC-signierte Zonen in Ihrem Netzwerk korrekt validiert werden, was eine zusätzliche Schutzschicht gegen DNS-Spoofing bietet.