Warum Top-Level-Domain-Betreiber sich bei DNSSEC nicht mehr auf Hoffnung verlassen können

Open-Source-Software ist oft das unauffällige Arbeitstier im Serverrack, der stille Betreiber im Stack und die rebellische Seele in der Betriebspipeline. Sie ist gründlich getestet und aus guten Gründen vertrauenswürdig, aber wenn ein Unternehmen oder eine kritische Registry darauf angewiesen ist, reicht es nicht, sich auf das Wohlwollen von Freiwilligen zu verlassen. Alex Band, Director of Product Development bei NLnet Labs, sagte, dass Enterprise-Support von den Leuten, die den Code geschrieben haben, bedeutet, dass man sein Geschäft nicht auf die Großzügigkeit von Freiwilligen setzt; man zahlt für Zuverlässigkeit, kontinuierliche Verbesserungen und eine echte Person, die man anrufen kann, wenn etwas schiefgeht. Diese Verantwortlichkeit fehlt heute vielen Organisationen.

Die Vorstellung, dass Open Source kostenlos ist, ist irreführend. Es ist kostenlos wie ein streunender Hund: Man kann ihn mit nach Hause nehmen, aber man muss ihn füttern, erziehen und zum Tierarzt bringen, wenn er etwas verschluckt, das er nicht sollte. Im heutigen regulatorischen Umfeld kommt Compliance als weitere Ebene hinzu. NIS2, die EU-Richtlinie zur Netz- und Informationssicherheit, bringt strengere Verpflichtungen in Bezug auf DNS-Infrastruktur, Incident-Handling und Lieferketten-Resilienz in der gesamten Europäischen Union mit sich. Für jede Organisation, die DNS-Dienste betreibt, sind Stabilität, Sicherheit und Verantwortlichkeit keine Option mehr.

Einer der stillen Eckpfeiler dieser Welt ist DNSSEC, kurz für Domain Name System Security Extensions. DNSSEC fügt DNS-Einträgen digitale Signaturen hinzu, damit Geräte überprüfen können, dass eine Antwort nicht manipuliert wurde. Das Signieren von Zonen, die Verwaltung von Schlüssellebenszyklen und das Aufrechterhalten von Vertrauensketten sind sorgfältige, fortlaufende Aufgaben. Wenn DNSSEC versagt, können Ausfälle, Vertrauensverlust und ernsthafte Reputationsschäden die Folge sein.

Um zu verstehen, was Betreiber nachts wach hält, befragte NLnet Labs 16 Top-Level-Domain-Betreiber (TLD), was sie am meisten beunruhigt. Ihre Antworten zeigen deutliche Lücken. Vertrauen, Kontinuität und Compliance sind heute Basisanliegen, aber viele Betreiber bauen ihre Infrastruktur immer noch auf individuelle Heldentaten auf, statt auf auditierbare Prozesse, die übertragbar sind und über eine einzelne Person hinaus vertraut werden können. Reine Verfügbarkeit reicht nicht mehr aus: Betreiber wollen Resilienz, Beobachtbarkeit, Verantwortlichkeit und eine dokumentierte Wiederherstellungskette. Auch die Supportmodelle sind uneinheitlich. Etwa 50 Prozent der befragten TLDs haben formelle Service-Level-Agreements oder Verträge für Support, während etwa 35 Prozent angaben, jemanden anrufen zu können, und etwa 15 Prozent sind völlig auf sich allein gestellt, wenn etwas kaputtgeht.

Die Umfrage ergab auch, dass Beobachtbarkeit, Validierung und auditierbare Pipelines oft fehlen. Viele TLDs verwenden manuelle Validierungstools wie DNSViz oder interne Skripte, und nur wenige haben eine vollständige, automatisierte, integrierte Sichtbarkeit zwischen jeder Stufe des Signierungsprozesses. Infolgedessen wissen sie oft erst, dass etwas falsch ist, wenn der Schaden bereits eingetreten ist. Auch Wiederherstellungs- und Fallback-Pläne sind lückenhaft. Obwohl jeder TLD-Betreiber zustimmt, dass Ausfälle unvermeidlich sind, sagten viele, dass ihre Fallback-Strategien unklar, undokumentiert oder von informellem Wissen einer einzelnen Person abhängig sind.

Diese Erkenntnisse führten zum Design von Cascade, einem neuen Open-Source-DNSSEC-Signer, den NLnet Labs auf der Grundlage von Feedback dieser 16 führenden TLDs entwickelt hat. Legacy-Systeme sind nicht mehr ausreichend. Betreiber sind es leid, dass Cron-Jobs, geplante automatisierte Aufgaben, stillschweigend fehlschlagen, und spröde XML-Konfigurationsdateien. Auditoren sind noch weniger nachsichtig: Sie verlangen vollständige Transparenz, Rückverfolgbarkeit und Prozesse, die unter Druck nachweisbar sind. Cascade ist kein Allheilmittel, aber es zeigt, was passiert, wenn Open Source auf professionelles Engineering und Support in der Praxis trifft. Es gibt Teams die Profis an ihrer Seite, wenn Auditoren mit schwierigen Fragen kommen.

Das Fazit ist: Wenn DNSSEC Teil Ihres kritischen Pfads ist, Zonen signieren, Schlüssellebenszyklen verwalten oder Vertrauensketten für Millionen von Nutzern intakt halten, , können Sie sich nicht auf veraltete Tools, Cowboy-Coding oder Helden-Ops verlassen. Sie benötigen Open-Source-Tools, die für die heutige Unternehmensrealität gebaut sind, mit Enterprise-Support, der das Gewicht dessen versteht, was Sie schützen. NLnet Labs bietet auch Hilfe beim Migrieren von Ihrem aktuellen System zu Cascade. So bauen Sie Vertrauen auf und schlafen nachts gut.

Cascade wird offiziell am 7. Oktober auf der OARC 45 in Stockholm vorgestellt. Organisationen, die an Support-Optionen interessiert sind, können Alex Band bei NLnet Labs kontaktieren. Für normale Internetnutzer und Website-Betreiber ist dies eine Erinnerung daran, dass DNSSEC nur effektiv ist, wenn Ihr Resolver es überprüft. Die Verwendung eines datenschutzorientierten verschlüsselten DNS-Dienstes wie AEU DNS fügt eine weitere Schutzschicht hinzu, da er DNSSEC-Signaturen in Ihrem Namen validiert und Antworten ablehnt, die manipuliert wurden.