DNSSEC bei EU Domain funktioniert nicht

Was bin ich lesend???

Ich glaube, es wird echt bald Zeit für mich, meine Domains umzuziehen, wenn das DNSSEC Problem nicht behoben wird.

Denn stellt euch mal vor, man muss aus irgendeinem Grund etwas an seiner Domain ändern... vielleicht hat man eine Testdomain und will andere Nameserver ausprobieren oder wieder zurück zu Cloudflare wechseln und DNSSEC lässt sich nicht aktivieren...

Dann ist Polen aber gewaltig offen!!!

Nur weiß ich noch nicht genau, wohin ich sie umziehen soll.

Es gibt zwar genug Anbieter, aber irgendwie überzeugt mich keiner so richtig.

Sind das denn schon 50% die dnssec verwenden? Ich hab es mal ausprobiert und dann wieder deaktiviert. Ich verstehe nicht ganz wofür dnssec gut bzw. warum es unverzichtbar ist.

Quote from webdesignheld

Sind das denn schon 50% die dnssec verwenden? Ich hab es mal ausprobiert und dann wieder deaktiviert. Ich verstehe nicht ganz wofür dnssec gut bzw. warum es unverzichtbar ist.

https://de.wikipedia.org/wiki/Domain_Name_System_Security_Extensions

Lese dich hier einmal rein

Quote from fvbor

Lese dich hier einmal rein

Vielen Dank - Guter Artikel. Ich hatte echt gedacht es wären schon 50% nach 20 Jahren.

Im Mittel validieren etwa 10 % der Domains.

Um eine sichere Authentifizierung zu gewährleisten, muss der Public Key einer Zone (bzw. dessen Hash) in den zentralen Server, der den Namen auflösen soll, manuell eingebracht werden. Da normalerweise jede Zone einen anderen Schlüssel besitzt, der sich zudem regelmäßig ändert, kann die Schlüsselverwaltung sehr aufwändig werden.

• Denial-of-Service-Angriffe auf Nameserver werden durch DNSSEC nicht verhindert, sondern auf Grund der höheren Last auf den Servern sogar erleichtert.
• DNS Amplification Attacks unter Ausnutzung der öffentlichen DNS-Infrastruktur werden effektiver, da DNS-Antworten mit DNSSEC deutlich länger sind.
• Die öffentlichen Schlüssel zur Verifizierung werden ebenfalls über das DNS verteilt. Damit ergeben sich Angriffsmöglichkeiten auf die Vertrauensketten. Dies kann verhindert werden, wenn der öffentliche Schlüssel des Vertrauensursprungs (englisch Trust Anchor) auf anderem Wege als der DNS-Infrastruktur (zum Beispiel mit dem Betriebssystem oder der Server- bzw. Clientsoftware) verteilt wird.
• Mittels Zone Walking kann der Inhalt von Zonen vollständig ausgelesen werden. Dies wird erschwert durch NSEC3, was den Inhalt der Zone durch Hashing verschleiert. Zone Walking kann durch Online-Signierung vollständig verhindert werden, was jedoch das Vorhalten des privaten Schlüssels auf dem Server und höhere Rechenlast erfordert.
• Da Stubresolver oft nicht selbst die DNS-Antworten validieren, kann ein Angriff auf der Kommunikationsstrecke zu ihrem rekursiven Nameserver erfolgen. Auch kann der rekursive Nameserver selbst kompromittiert sein.

Für DANE/TLSA-RR ist es z.B. eine zwingende Voraussetzung

Konnte gerade bei allen domains dnssec ohne Fehlermeldung aktivieren:

pasted-from-clipboard.png

Mal abwarten, ob auch alles wirklich "durch geht".

Bei mir ging es gerade durch. Verisign sagt, alles OK.

Wie lange das wohl hält? 🤔

Hier alles sauber.

Funktioniert bei mir auch wieder

MailHardener.png

Sieht schon viel besser aus

Sieht bei mir auch wieder gut aus

Ich sage auch Danke für die schnelle Wiederherstellung.