DNSSEC

DNS läuft in vielen Umgebungen als Dienst im Hintergrund, den man einmal einrichtet und dann vergisst. Der kürzliche DENIC-Ausfall hat gezeigt, warum das ein Trugschluss ist. Dieser Artikel erklärt, wie DNSSEC, DoT, DoH und die Wahl des richtigen Resolvers zusammenspielen – und wo die Grenzen jedes einzelnen Mechanismus liegen.

Am Abend des 5. Mai waren zeitweise zahlreiche .de-Domains nicht erreichbar. Ausgerechnet der Sicherheitsmechanismus DNSSEC wurde dabei zum Problem – die Ursache lag offenbar in einer fehlerhaften RRSIG-Signatur, was die Validierung durch DNS-Dienste ausgehebelt hat.