DNSSEC: Nameshield stellt auf ECDSA um

DNSSEC ist das Protokoll, das die Integrität der DNS-Auflösung gewährleistet, indem es eine Vertrauenskette bis zur Root aufbaut. Die Datensicherheit wird durch einen Mechanismus aus kryptografischen Schlüsseln gewährleistet, die die DNS-Einträge der Zonen signieren. Historisch gesehen verwenden DNS-Betreiber Schlüssel vom Typ RSA (RSASHA256-Algorithmus), die für ihre Zuverlässigkeit bekannt sind.

Als Alternative zu diesem asymmetrischen kryptografischen Algorithmus gibt es Algorithmen mit elliptischer Kurve. Im Fall von DNSSEC bietet insbesondere der Algorithmus „ECDSA Curve P-256 with SHA-256“ (RFC 6605 und 8624) ein höheres Sicherheitsniveau bei kürzeren Schlüsseln.

Der ECDSA-Algorithmus wird zunehmend von den wichtigsten Akteuren der Domainnamenindustrie wie Verisign oder AFNIC implementiert und könnte Branchenexperten zufolge bald zum Standard werden.

Der Algorithmus bietet mehrere Vorteile im Vergleich zu unserer aktuellen Implementierung:

  • Kürzere Signaturen und weniger große Zonendateien (ca. -33%)
  • Schnellere Übertragung und Neuladen von Zonen
  • Verbesserte Leistung bei der Signatur
  • Potenziell schnellere DNS-Anfragen (weniger Einsatz von IP-Fragmentierung)
  • Verringerung des Verstärkungsfaktors von DNS-basierten DDoS-Angriffen

Nameshield hat sich daher dafür entschieden, diesen Algorithmus standardmäßig zu verwenden, um eigene Domainnamen und die seiner Kunden zukünftig noch besser abzusichern.

Bildnachweis: Nameshield with storyset.com

SVCB / HTTPS: Zwei neue DNS-Eintragstypen

SVCB / HTTPS: Zwei neue DNS-Eintragstypen

Das DNS, das Domain Name System, ist ein wichtiger Dienst für das Funktionieren des Internets. Es wird oft als ein Verzeichnis beschrieben, in dem Domainnamen mit IP-Adressen verknüpft werden können, doch das stellt nur einen Bruchteil seiner Funktionen dar.

DNS-Einträge der Typen A und AAAA ermöglichen es, IP-Adressen hinter einem Domainnamen zu konfigurieren. Daneben gibt es aber Dutzende weiterer DNS-Eintragstypen, die für verschiedene Anwendungsfälle nützlich sind.

Dienste vereinfachen und Latenzen reduzieren

Typ SVCB

Der SVCB-Typ, der für SerViCe Binding steht, soll nützliche Informationen über die mit einem Domainnamen verfügbaren Dienste angeben. Das Format des SVCB-Datensatzes besteht aus einer Priorität, einem Ziel und einer optionalen Parameterliste. Beispielsweise kann damit angegeben werden, dass für einen definierten Dienst ein Domainname tatsächlich mit einem anderen Namen mit einer bestimmten Konfiguration verknüpft ist.

SVCB [SvcPriority] [TargetName] ([SvcParams]…)

SVCB-Datensätze unterscheiden sich von SRVs in mehreren Punkten:

  • SRV-Datensätze sind in der Regel obligatorisch, damit ein Dienst funktioniert dies ist bei SVCB nicht der Fall
  • SVCB-Datensätze können mehr Informationen angeben als SRVs, z. B. eine zu verwendende Protokollversion
  • Der SVCB-Typ ist im Gegensatz zu SRVs erweiterbar, so dass verschiedene zukünftige Entwicklungen und Verwendungen denkbar sind

Typ HTTPS

Der Typ HTTPS ist ein von SVCB abgeleiteter Typ. Im Gegensatz zum SVCB-Typ, der generisch ist, ist der HTTPS-Typ spezifisch für das HTTPS-Protokoll.

Um eine HTTPS-Verbindung zu initiieren, muss der Client in der Regel zuerst eine HTTP-Verbindung aufbauen, um verschiedene Informationen abzurufen, z. B. welche Version er verwenden soll, dies erzeugt Latenz.

Der DNS-Eintrag vom Typ HTTPS ermöglicht es insbesondere, dem Client verschiedene Parameter anzugeben, um die Verbindung zum Server zu erleichtern und so die Latenz zu verringern. Er hat die gleiche Form wie ein SVCB-Eintrag:

HTTPS [SvcPriority] [TargetName] ([SvcParams]…)

Alias-Modus

SVCB/HTTPS-Registrierungen bieten zwei Betriebsmodi. Einen Alias-Modus und einen Service-Modus.

Der Alias-Modus wird aktiviert, wenn die Priorität auf 0 gesetzt ist. Er ermöglicht die Umleitung eines Domainnamens auf einen anderen Namen und löst insbesondere das bekannte Problem des CNAME-at-apex.

Mit dem CNAME-Eintrag können Sie angeben, dass eine Subdomain auf einen anderen Domainnamen verweist. Er ist sehr nützlich, um einen Dienst zu delegieren: z. B. um den Namen www.beispiel.de auf die bei meinedomain.testhost.de  gehostete Website verweisen zu lassen.

www CNAME meinedomain.testhost.de

Das Problem mit dem CNAME-Datensatz ist, dass er nicht im Stamm eines Namens definiert werden kann. Um dieses Problem zu umgehen, werden nicht-standardmäßige Lösungen wie ALIAS- oder ANAME-Einträge angeboten, aber diese Typen werden nicht von allen DNS-Betreibern unterstützt. Der Alias-Modus der SVCB/HTTPS-Einträge ist eine Lösung für dieses Problem.

SVCB 0 nameshield.net.

HTTPS 0 nameshield.net.

Service Modus

Der Service Modus der SVCB/HTTPS-Einträge ermöglicht es, anzugeben, welche Dienste hinter einem Domainnamen konfiguriert sind. Bei der Diensterkennung liefert dies dem Client eine Reihe von Parametern, die in einem einzigen DNS-Eintrag zusammengefasst sind. Ziel ist es, die Nutzung von Diensten zu erleichtern und die Latenz zu verringern.

Zum Beispiel kann es einen HTTPS-Eintrag geben, der besagt, dass der Client mit dem HTTP/2- oder HTTP/3-Protokoll (alpn) eine Verbindung zu den definierten IPv4- und IPv6-Adressen (ipv4hint, ipv6hint) auf Port 8061 (port) herstellen kann.

HTTPS 1 . alpn=”h3,h2” ipv4hint=”192.168.0.1” ipv6hint=”2001:db8::1” port=8061

Deployment läuft

SVCB/HTTPS-Registrierungen bieten mehrere Funktionen, um die Webleistung zu verbessern und das Root-CNAME-Problem anzugehen. Die Tatsache, dass sie generisch und skalierbar sind, ermöglicht es, den Umfang der Anwendungsfälle zu erweitern.

Obwohl sie noch nicht durch einen RFC standardisiert sind, werden diese neuen Arten von Datensätzen bereits verwendet. Einige DNS-Software und Webbrowser unterstützen diese Datensätze und Player wie Apple, Google, Cloudflare und Nameshield implementieren sie bereits.

Heute müssen Dienste, die mit SVCB/HTTPS-Registrierungen arbeiten, in Zweifelsfall jedoch auch darauf verzichten können, da die Einführung noch nicht flächendeckend erfolgt ist. Dies ist ein Stadium, der mehrere Monate dauern kann, bis die meisten Betreiber aufgerüstet haben.


Bildquelle: TheDigitalArtist via Pixabay