Domain Name System Security Extensions (DNSSEC)
DNSSEC, kurz für „Domain Name System Security Extensions“, ist ein erweitertes Protokoll, das die Authentizität der von DNS-Servern bereitgestellten Informationen sicherstellen soll. Es nutzt Public-Key-Kryptografie und digitale Signaturen, um Sicherheitslücken im herkömmlichen DNS-Protokoll zu schließen. Das 1983 entwickelte DNS ist ein System, das Domainnamen (Hostnamen) in IP-Adressen auflöst, jedoch wegen fehlender robuster Sicherheitsmechanismen kritisiert wird. Eine erhebliche Schwachstelle ist seine Anfälligkeit für DNS-Cache-Poisoning-Angriffe.
Die DNS-Infrastruktur besteht aus zwei Haupttypen von Servern:
- DNS-Content-Server (autoritative Server): Diese verwalten die eigentlichen Domaininformationen.
- DNS-Cache-Server (Nameserver): Diese fragen im Auftrag von Clients Inhaltsserver ab und speichern die Antworten für einen festgelegten Zeitraum vorübergehend im Cache, um ähnliche zukünftige Anfragen ohne erneute Abfragen zu beantworten.
Wenn schädliche oder fehlerhafte Daten im Cache gespeichert werden („vergifteter Cache“), kann der DNS-Cache-Server Clients eine falsche IP-Adresse übermitteln und sie dadurch auf betrügerische Websites umleiten. Diese gezielte Manipulation wird als DNS-Cache-Poisoning bezeichnet. Sie ist möglich, weil die DNS-Kommunikation zwischen Servern das zustandslose UDP-Protokoll verwendet, bei dem der Absender nicht überprüft wird. Indem Angreifer gefälschte Antwortpakete zeitlich geschickt auf legitime Anfragen abstimmen, können sie den Cache manipulieren.
DNSSEC wirkt dem durch die Einführung einer kryptografischen Validierung entgegen. Autoritative DNS-Content-Server erzeugen ein kryptografisches Schlüsselpaar – einen privaten und einen öffentlich zugänglichen Schlüssel. Bei der Beantwortung einer Anfrage signiert der Server die DNS-Antwort mit seinem privaten Schlüssel. Nach Erhalt der Antwort überprüft der DNS-Cache-Server die digitale Signatur mithilfe des öffentlichen Schlüssels. Dieses Verfahren gewährleistet die Integrität und Authentizität der Daten und verhindert so wirksam DNS-Cache-Poisoning-Angriffe.