mxe950.netcup.net DNSSEC

    Hallo,

    im Zuge der Absicherung meiner Email-Domain ist mir aufgefallen, dass der MX mxe950.netcup.net kein DNSSEC unterstützt: https://dnssec-debugger.verisignlabs.com/mxe950.netcup.net

    Was kann ich hier machen? Welchen DNSSEC fähigen MX kann ich nutzen? Was muss ich wie konfigurieren?

    EDIT:

    Es gibt scheinbar auch keinen TLSA Record für mxe950.netcup.net. Warum nicht?

    Bei einem Webhosting wirst du da nicht viel machen können, da es nicht in deiner Hand liegt und du somit nichts konfigurieren kannst, dies könnte nur netcup selbst einrichten.

    Und TLSA erfordert ebenfalls DNSSEC.

    Matrix: @nan0:nan0.dev - IRC: nan0 on hackint.org

    Einmal editiert, zuletzt von nan0 (7. Februar 2025 um 15:59)

    Hm, das ist ja ärgerlich. Ich wollte eigentlich nur meiner Freundin eine Email-Adresse mit eigener Domain einrichten; dachte, ich nehme dafür mein quasi ungenutztes Webhosting Paket und jetzt stellt sich heraus, dass hier grundlegende Sicherheitsfeatures fehlen.

    Vielleicht kann sich ja mal ein "offizieller" dazu äußern. Ist DNSSEC für die Netcup Domains geplant? Gibt es eine Roadmap? Oder wird das nie kommen? In dem Fall müsste ich mir für die Mails wohl einen anderen Hoster suchen.

    Zitat von aRaphael

    Welchen anderen Provider haben denn DNSSEC für ihre Mailserver-Domains?

    Ich habe keine Ahnung. Ich dachte, das sollte mittlerweile Standard sein? Nicht?

    Ich persönlich bin bei Posteo, aber wollte jetzt halt für meine Freundin eine Mail-Adresse mit eigener Domain einrichten, weil ihre web.de Freemail Adresse echt nicht seriös aussieht.

    Ich möchte meinen Mail-Server nicht unbedingt selbst betreiben. Ich betreibe zwar schon seit einigen Monaten Stalwart im Testbetrieb, aber Email ist mir dann doch irgendwie zu kritisch. Wenn ich das für jemand anderen einrichte, muss das managed sein und funktionieren.

    Zitat von m_ueberall

    Spezialisierte E-Mail-Dienstanbieter wie "der grüne Briefkasten" (….org)?

    Selbst da scheint MTA-STS und DANE nicht konfiguriert zu sein. Das kann doch alles nicht wahr sein? Muss ich das wirklich selbst machen? Will ich nicht :/

    Zitat von m3um25z

    Selbst da scheint MTA-STS und DANE nicht konfiguriert zu sein. Das kann doch alles nicht wahr sein? Muss ich das wirklich selbst machen? Will ich nicht :/

    Ich habe das mal von deren Seite kopiert:

    Spoiler anzeigen

    Das Internet hat viele Ohren. Darum sind alle unsere Dienste nur über SSL/TLS-verschlüsselte Verfahren zu erreichen. Dafür setzen wir unter anderem auf die Sicherheitszertifikate von DigiCert, zu erkennen am grünen Schloss in Ihrem Browser. Doch dann geht unsere tägliche Arbeit erst richtig los:

    • Unsere Crypto-Spezialisten verfolgen alle Entwicklungen, setzen konsequent auf modernste Crypto-Algorithmen und schalten unsichere Verfahren zuverlässig ab. Außerdem setzen wir konsequent auf (EC)DHE-Algorithmen mit Perfect Forward Secrecy (PFS), so dass auch eine zukünftige Entschlüsselung von heute aufgezeichnetem Datenverkehr verhindert wird.
    • Um gezielte Manipulationen durch Dritte auszuschließen, haben wir als einer der ersten Provider unsere Domain mittels DNSSEC und DANE/TLSA gesichert. Doch auch das ist (uns) nicht genug: Wann immer sich eine Möglichkeit bietet, die Sicherheit der Kommunikation zu erhöhen, nutzen wir diese. Verfahren wie HSTS, CAA, CSP, MTA-STS und X-XSS verhindern wirkungsvoll sogenannte "man-in-the-middle"-Attacken und sorgen dafür, dass Sie beim Einsatz von SSL/TLS stets sicher sein können, auch tatsächlich (nur) mit uns zu kommunizieren.
    • Zum Schutz Ihrer Privatsphäre entfernen wir bei allen ausgehenden E-Mails alle eventuell mitgesendeten Metadaten zum verwendeten Browser oder Mailclient, als auch die privaten und öffentlichen IP-Adressen des Nutzers ("IP-Stripping").
    • Und um die anonyme Nutzung des Internets zu unterstützen und unsere Kunden gegen die anlasslose Vorratsdatenspeicherung zu schützen, betreiben wir für Spezialisten sogar einen eigenen Tor Exit Node mit Hidden Onion Services in unserem Rechenzentrum.

    Zuviel der technischen Abkürzungen? - Macht ja nix, denn dafür sind ja wir da. Vertrauen Sie denjenigen, die sich all das als Kernkompetenz auf ihre Fahne geschrieben haben.

    Danke für die Info.

    Ist denn nun zu erwarten, dass man auch mit Netcup Webhosting Email mit üblichen Sicherheitsstandards betreiben kann? Wenn das noch 3 Monate dauert, kann ich damit leben. Wenn Netcup das alles aus irgendwelchen Gründen nicht implementieren wird, wüsste ich das gerne jetzt, damit ich mit der neuen Adresse jetzt schon ohne Ausfälle woanders hin umziehen kann.

    Zitat von m3um25z

    Ist denn nun zu erwarten, dass man auch mit Netcup Webhosting Email mit üblichen Sicherheitsstandards betreiben kann?

    Glaskugel habe ich keine – hilfsweise würde ich einmal den Support anschreiben und basierend auf der Antwort (oder deren Ausbleiben) migrieren oder nicht.

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    Hab mal eben nach der Liste gesucht wo einige dinge wie dnssec und co Getestet wurden.


    kA ob es hier der Link hier erlaubt wäre, daher PN wenn Interesse besteht und dieser die nicht kennt(letztes Update 2020)..

    Ich stehe für FIDO2, FOSS und strenges Copyleft – mit Offenheit über AGPL hinaus, Förderung freier Software und steuerlichen Nachteilen für proprietäre Abhängigkeiten.

    Einmal editiert, zuletzt von DiamantThomy (7. Februar 2025 um 21:52)

    Die Antwort des Supports verwirrt mich etwas.

    Code
    vielen Dank für Ihre Nachricht.
Mit den Nameservern von netcup kommt es hierbei des Öfteren zu Problem. Zur Behebung kann ich leider keine zeitliche Angabe machen.

Mit freundlichen Grüßen,
netcup Team

    Also handelt es sich um ein temporäres Problem und DNSSEC sollte eigentlich funktionieren?

    Da ist der First Level Support wohl falsch abgebogen und bezieht sich auf die immer wieder auftretenden Probleme bei den Netcup DNS Servern sobald in einer Zone DNSSEC aktiviert wird.

    Eine Nutzer nutzen daher z.B. die Nameserver von DeSec.

    Wenn du im Forum ein wenig danach suchst wirst du eine Threads dazu finden.