DNSSEC-Testbed für Deutschland

Gemeinsam mit dem BSI und eco hatte DENIC im Juni 2009 ein Testbed für die Domain Name Security Extensions (DNSSEC) ins Leben gerufen, um die Einführung von DNSSEC für .de-Domains zu evaluieren.

DNSSEC zielt darauf ab, Sicherheitslücken im Internet - wie Cache-Poisoning, DNS-Umleitungen und DNS-Spoofing - zu schließen. Innerhalb einer von DENIC bereitgestellten Testumgebung konnten operative und technische Erfahrungen gesammelt und geprüft werden, um zu beurteilen, welche Auswirkungen DNSSEC auf die Sicherheit und Zuverlässigkeit im Internet hat.

Ziel war es, durch ausführliche Tests mögliche Risiken im Betrieb von DNSSEC frühzeitig auszuschließen und gleichzeitig die Akzeptanz zu prüfen. Die Testbedinfrastruktur wurde noch bis Juli 2011 weiterbetrieben und dann endgültig abgeschaltet.

DNSSEC Testbed Meetings

Finales Meeting zieht kompakte Bilanz

Das fünfte und letzte DNSSEC-Testbed-Meeting am 8. Februar 2011 bildete den Abschluss für das von BSI, DENIC und eco initiierte DNSSEC-Testbed.

Das Testbed bot Gelegenheit, um operative und technische Erfahrungen zu sammeln, Risiken einzuschätzen und die Akzeptanz zu prüfen. Die vergangenen Meetings haben hierzu detailliert informiert, viele offene Fragen adressiert und beantwortet. Im abschließenden Meeting zogen die Initiatoren in kompakter Form Bilanz und DENIC präsentierte die geplanten Schritte zur Umsetzung von DNSSEC in der Praxis. Als Termin für die Einführung wurde der 31. Mai 2011 bekannt gegeben.

DNSSEC-Testbed-Abschlussbericht

Abschlussbericht

Präsentationen

Live-Mitschnitte der Veranstaltung

Agenda

  • DNSSEC@DENIC: Aktueller Stand im Testbed
    Peter Koch / Marcos Sanz Grossón, DENIC eG

  • Erfahrungsbericht eines Testbed-Teilnehmers
    Andreas Schulze, DATEV eG

  • DNSSEC im globalen Kontext: Aktueller Stand
    Thorsten Dietrich, BSI

  • DNSSEC-Validierung unter MS Windows
    Carsten Strotmann, Men & Mice

  • Tools & Emerging Services im DNSSEC-Umfeld:

    • Nominum DNSSEC Packs – Ralf Weber, Nominum Inc.
    • GSLB / Global Service Loadbalancing – Ralf Brünig, F5 Networks GmbH
    • Nixu NameSurfer Suite – Jürgen Joswig & Toni Lampela, Nixu Ltd.
    • Exanames – Kariem Hussein & Wolfgang Nagele, Exabit GmbH
    • OpenDNSSEC – Carsten Strotmann, Men & Mice
    • Die Infoblox DNSSEC-Lösung - Dominic Stahl, Infoblox Inc.

Veranstaltungsflyer

Präsentationen

Live-Mitschnitte der Veranstaltung

Agenda

  • DNSSEC@DENIC: "Halbzeit" im Testbed
    Peter Koch / Marcos Sanz Grossón, DENIC eG

  • Teilnahme am Testbed und Messungen zu NSEC3: Ein Erfahrungsbericht
    Florian Obser, Hostserver GmbH

  • DNSSEC am Leibniz-Rechenzentrum
    Bernhard Schmidt, LRZ – Rechenzentrum der Münchener Hochschulen und Forschungseinrichtungen

  • DNSSEC-Einführung in "bund.de"
    Thorsten Dietrich, Bundesamt für Sicherheit in der Informationstechnik

  • DNSSEC als Sicherheitskomponente im Heimnetzwerk der FRITZ!Box
    Martin Duzy, AVM GmbH

  • Die Signierung der Rootzone: "Anpfiff" zum Finale
    Peter Koch, DENIC eG

  • DNSSEC@Earth: Blick über den Tellerrand
    Carsten Strotmann, Men & Mice

  • Softwareunterstützung für DNSSEC
    Ralf Weber, Nominum Inc.

  • DNSSEC-Erweiterungen aus Registrarsicht
    Volker Janzen, InterNetX GmbH

  • Domain-Transfer unter DNSSEC
    Samuel Benz, SWITCH – Serving Swiss Universities

Veranstaltungsflyer

Synopsis

Präsentationen

Live-Mitschnitte der Veranstaltung

Agenda

  • Einführung und aktueller Stand DNSSEC (optional)
    Peter Koch, DENIC

  • Begrüßung
    Sabine Dolderer, DENIC

  • Vorstellung DNSSEC-Testbed bei DENIC
    Peter Koch / Marcos Sanz Grossón, DENIC

  • Mit DNSSEC um die Welt: Der Stand in anderen TLDs
    Hans Peter Dittler, BRAINTEC Netzwerk-Consulting

  • DNSSEC in der Schweiz: Erste Erfahrungen im Produktivbetrieb
    Samuel Benz, SWITCH

  • DNSSEC-Unterstützung durch Heimrouter
    Thorsten Dietrich, BSI

  • Signierung der Rootzone
    Wolfgang Nagele, RIPE NCC

  • DNSSEC Zonenverwaltung mit dem OpenSource Tool ZKT
    Holger Zuleger, HZNET

Veranstaltungsflyer

Präsentationen

Live-Mitschnitte der Veranstaltung

Agenda

  • Grußwort
    BSI

  • Vorstellung des Projekts und Zeitplans
    Sabine Dolderer

  • Hintergrund und Einführung DNSSEC
    Hans Peter Dittler

  • DNSSEC für .de – Vorstellung der Testumgebung und des Setups
    Dr. Jörg Schweiger

  • DNSSEC für einen ISP/Registrar - Was muss ein ISP/Registrar tun, um seine Infrastruktur DNSSEC-ready zu machen und am Testbed teilzunehmen
    Ralf Weber, COLT

  • DNSSEC bei Netzzugangsgeräten - Inwieweit unterstützen Zugangssoftware/Router bereits DNSSEC? Vorstellung Studie
    BSI

  • Diskussions- und Fragerunde zum Thema DNSSEC Testbed für .de
    Moderation: Thomas Rickert

Präsentationen

Einführung von DNSSEC für die .de-Zone

Die Einführung von DNSSEC für die .de-Zone erfolgte in Anlehnung an das DURZ-Verfahren für die Rootzone. Die DUdeZ (deliberately unvalidatable DE zone) enthielt DS-Records auf Basis der im Registrierungssystem hinterlegten Key Signing Keys (KSKs) und war auch sonst vollständig signiert. Allerdings wurden die DNSKEY-RRs durch solche mit gleichem Key-Tag ersetzt, die ausdrücklich keine Validierung ermöglichten. Mit diesen Daten wurden die 16 Name Server Locations schrittweise versorgt.

DENIC hatte aus Gründen der internen Konsistenz der Abläufe für einen kurzen Übergangszeitraum und dann im Rahmen der DUdeZ bereits in der unsignierten .de-Zone die DS-Records für die bis dato registrierten Key Signing Keys von Second Level Domains veröffentlicht. Betroffen waren ca. 180 Teilnehmer an der der Einführung vorgeschalteten Testphase, dem so genannten DNSSEC-Testbed. Diese Records waren nicht nutzbar, da sie nicht signiert waren, aber ansonsten unschädlich, da die gängigen validierenden Resolver nur dann Anfragen nach DS-Records stellen, wenn Aussicht auf Erfolg besteht.

Am 31. Mai 2011 – dem offiziellen Tag der DNSSEC-Einführung – wurde das DNSKEY-RRSet veröffentlicht und der DS-RR an IANA versand. Dieser DS-RR erschien am 7. Juni 2011 erstmals in der Rootzone. Seit diesem Zeitpunkt ist die Validierung von .de-Domains möglich.

Weiterführende Links und Dokumente

Bundesamt für Sicherheit in der Informationstechnik - BSI

Verband der Internetwirtschaft - eco