03
Wovor schützt DNSSEC?
Angriffe und Sabotageversuche auf das DNS haben ein enormes Bedrohungspotenzial. Eine globale DNS-Hijacking-Kampagne sorgte zuletzt 2019 für Schlagzeilen. Damals warnte die Internetverwaltung ICANN (Internet Corporation for Assigned Names and Numbers) eindringlich vor den Attacken, die auf dutzende Domains von Regierungs-, Telekommunikations- und Internet-Infrastruktur-Organisationen in Europa, Nordamerika, Nordafrika sowie im Nahen Osten abzielten. Hinter den Angriffen sollen politische Akteure gesteckt haben, die mit der globalen Kampagne in erster Linie politische Ziele verfolgten.
Mittels DNS-Hijacking können Angreifer reguläre Seitenaufrufe unbemerkt umleiten, etwa um auf gefälschten Webseiten Zugangsdaten zu erbeuten, Schadsoftware zu verbreiten oder um politische/ideologische Gegner bloßzustellen. Ebenso ist es mittels DNS-Hijacking möglich, den Zugriff auf bestimmte Webseiten zu zensieren.
04
Wie verbreitet ist DNSSEC?
Der Startschuss für DNSSEC fiel schon 1999, global hat sich die DNS-Erweiterung allerdings bis heute nicht durchgesetzt. Dazu trugen nicht zuletzt Kinderkrankheiten bei, die umfassende Nachbesserungen erforderten. So musste die ursprüngliche Fassung DNSSEC (RFC 2535) überarbeitet werden, um die Schlüsselverwaltung zu vereinfachen und um Kompatibilitätsprobleme mit bestehender Software zu beheben. Erst 2005 ging schließlich mit RFC 4033, RFC 4034, RFC 4035 die Neufassung der Erweiterung an den Start. Es folgte im Jahr 2008 schließlich mit NSEC3 Resource Records (RFC 5155) eine Option, um die bis dahin vorhandene Gefahr von Zone-Walking-Attacken zu verringern. Seit 2010 ist DNSSEC auf allen 13 Root-Servern, nahezu alle Top-Level-Domains unterstützen mittlerweile die DNS-Erweiterung. Trotzdem liegt die globale Validierungsrate von DNSSEC noch unter der Marke von 30 Prozent.
Komplexität als Hemmschuh für DNSSEC
Verantwortlich für die langsame Adaption von DNSSEC ist nicht zuletzt die hohe Komplexität, die mit dem Einsatz der Erweiterung einhergeht. So genügt es beispielsweise nicht, dass Root-Server und die Verwalter der Top-Level-Domains den Standard unterstüzen. Für eine erfolgreiche Integritätsprüfung müssen zusätzlich Domainhändler, der DNS-Serverbetreiber sowie der Internetzugangsprovider (Resolver) den Standard unterstützen und aufeinander abgestimmt konfiguriert haben.
DNSSEC in Deutschland
In Deutschland beziehungsweise der .de-Zone wurde DNSSEC im Jahr 2011 eingeführt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veranstaltete 2015 einen DNSSEC-Day, der informieren und zur Adaption der Technologie motivieren sollte. Das BSI empfiehlt zudem in der technischen Richtlinie „Sicherer E-Mail-Transport“ (BSI TR-03108) den Einsatz von DNSSEC zur Absicherung der digitalen Kommunikation. Insbesondere geschäftskritische Domains profitieren laut der Behörde von der zusätzlichen Schutzebene, die DNSSEC bereitstellt. In der Bundesrepublik setzen in erster Linie Behörden und Organisationen aus hochregulierten Sektoren (Finanzen, Versicherungen, Gesundheitswesen, etc.) auf DNSSEC. Insgesamt liegt die Validierungsrate in Deutschland laut APNIC Labs bei über 50 Prozent und damit leicht über dem westeuropäischen Durchschnitt.
06
DNSSEC: Das müssen Sie wissen
DNSSEC ist eine Sicherheitserweiterung, die bei der Namensauflösung für die Quellenauthentisierung sorgt. Über die Technologie lässt sich die Integrität von Webservern und den damit aufgebauten Verbindungen validieren. So wird sichergestellt, dass eine spezifische Domain auch wirklich dem korrekten Webserver zugeordnet wird. Sabotageversuche können dadurch aufgedeckt und vereitelt werden. Daneben kann mittels DNSSEC auch die Integrität der digitalen Kommunikation via E-Mail oder VoIP abgesichert werden.
Aufgrund der hohen Komplexität und verschiedener Anlaufschwierigkeiten hat sich der Standard aber bis heute nicht global durchgesetzt. Allerdings lässt sich ein gewisser Trend in der Adaption feststellen. So setzen insbesondere Organisationen aus sensiblen Sektoren zunehmend auf DNSSEC – speziell, wenn es um die Absicherung geschäftskritischer Domains geht.
Als Schwachstelle von DNSSEC wir oftmals die fehlende Verschlüsselung angesehen. Darüber hinaus besteht ein großes Bedrohungspotenzial durch DDoS-Angriffe – sowohl durch als auch für DNSSEC-validierende Webserver. Cyberkriminelle können die technologischen Eigenschaften des Standards missbrauchen, um ihre Attacken zu verstärken und zu verschleiern. Gleichzeitig sind DNSSEC-validierende Webserver anfälliger für DDoS-Attacken, da sie bei der Namensauflösung eine höhere Rechenlast stemmen müssen.