DNS bei deSEC - wie geht das mit DNSSEC?

    example.de IN DS 6444 8 2 A797D229232A....

    ich habe das aus dnssec-dsfromkey versucht in netcup als @ DS einzugeben, bekomme aber einen fehler
    Eintrag ungültig: @ DS 0 6444 8 2 A797D229.... Host bei DS-Record falsch.

    Wenn ich das Richtig verstehe versuchst du das als Record zu setzten das geht nicht.

    Du musst bei Netcup im CCP bei der Domain unter DNS auf "eigene Nameserver" umstellen:

    (Alle Vorhandenen Record sind dann weg! Müssen dann auf Desec seite also erstellt werden!)

    pasted-from-clipboard.png

    Und dann kannst du das hier eingeben:

    Spoiler anzeigen

    pasted-from-clipboard.png

    Also entweder Nutzt du die Nameserver Von Netcup und lässt alles so wie es ist oder du möchtest die Nameserver von Desec.io verwenden dann musst du das Umstellen.

    Viele hier im Forum nutzen desec da DNSSEC bei Netcup Probleme macht. Wenn du DNSSEC nicht brauchst einfach den Haken nicht setzten bei Netup und alles so lassen wie es ist.

    Spoiler anzeigen

    pasted-from-clipboard.png

    Zitat von DocMAX

    ich habe das aus dnssec-dsfromkey versucht in netcup als @ DS einzugeben, bekomme aber einen fehler

    Der DS wird nicht im Domain DNS hinterlegt, sondern im DNS vom Registar (in diesem Falle Denic für .de Domains).

    Das geht hier nur, wenn du externe Nameserver verwendest.

    Was hast du denn ganz konkret vor, dass du ein DS Record erstellen musst?

    Zitat von DocMAX

    Wieso muss ich denn zu Desec hin?

    Du bist in einem Thema, in dem es darum geht. DS (Delegation Signer) Records braucht man, wenn eine Domain oder Subdomain an einen anderen Nameserver delegiert wird und DNSSEC verwendet werden soll. Wenn es um die Domain selbst geht, muss der Server, der diese Domain delegiert, den DS Record haben. Das ist der von der Registry, nicht der von Netcup. Um den DS-Record bei der Registry kümmert sich Netcup

    Wenn du eine Subdomain von einer Domain, deren DNS bei Netcup gehostet wird, mit DNSSEC delegieren möchtest, musst du einen DS Record bei Netcup eintragen. Nur dafür brauchst du einen Eintrag in der Liste, wo du auch einen Hostnamen angeben musst.

    @ für den Host macht keinen Sinn, denn den DS-Record für die Domain selbst verwaltet Netcup. Wenn du andere Nameserver (z.B. die im Thementitel angegebenen von Desec.io) für die ganze Domain verwenden möchtest, wird der DS-Record zusammen mit den anderen Informationen für die Delegation von der Registry zum anderen DNS-Hoster in einem anderen Formular eingetragen.

    Einmal editiert, zuletzt von NaN (10. Dezember 2024 um 18:12)

    Moin zusammen,

    evtl. leicht offtopic: Ich muss gestehen, dass ich die Kritik bzgl. DNSSEC bei netcup bis dato nicht nachvollziehen kann... nachdem ich verstanden hatte, dass man aktiv ein Häkchen setzten muss, waren die Tests auf VeriSigns DNSSEC-Debugger alle grün. Werde das trotzdem im Auge behalten - bin tatsächlich ganz frisch von einem anderen Provider zu netcup gewechselt, vielleicht hatte ich auch einfach nur Glück. Die Option auf die Services von deSEC oder Cloudfare zurückzugreifen ist ja flott erledigt 😉

    Im Übrigen finde ich den Umgang hier und den Support durch erfahrene User/Kunden großartig.

    Also seit dem ich einmal den Service von Cloudflare genutzt habe, laufen alle meine Domains darüber..

    Natürlich kann man darüber streiten wegen Amerikanischen Unternehmen und so aber der DNS Service von denen und alles drum herum sind einfach mega praktisch.

    Da habe ich dann auch DNSSEC ausprobiert und eingerichtet. Einfacher geht's eigentlich nicht und hab noch nie Probleme mit DNS gehabt.

    Einfach die Nameserver ändern, dann DNSSEC bei Cloudflare aktivieren und den Eintrag bei NC setzen und fertig.

    Also falls das alternativ zu anderen Anbietern für euch in Frage kommt, kann ich definitiv empfehlen.

    Wenn fragen bestehen helfe ich da auch gerne ✌🏼

    Das ist also genauso praktisch bzw etwas unpraktischer als bei deSEC, da dort DNSSEC grundsätzlich aktiviert ist und die restlichen Schritte sind natürlich identisch.

    In der derzeitigen Lage - und auch schon vorher - bevorzuge ich in puncto Datenschutz einen deutschen eingetragenen Verein ^^ jederzeit vor einem US Techgiganten. Germany First ;)

    Einmal editiert, zuletzt von tab (30. März 2025 um 10:15)

    Richtig cool wäre allerdings, den KSK überhaupt nicht jemand anderem zu überlassen, sondern die Zone selbst zu signieren, am besten auf eigener Hardware, die nicht bei jemand anderem steht, und dann die signierte Zone irgendwo hosten zu lassen.

    Es ist der große Vorteil des DNSSEC Designs, dass das geht, weil keine geheimen Schlüssel auf den Nameservern benötigt werden. Darüber wurde lange diskutiert, weil so Authentizität aber nicht Vertraulichkeit erreicht wird. Die alternativen Designs, die auch Vertraulichkeit ermöglichen, erfordern allerdings geheime Schlüssel auf den öffentlichen Servern. Heute kann man das Beste aus beiden Welten haben, indem man DNSSEC mit DoH oder DoT kombiniert.

    2 Mal editiert, zuletzt von NaN (30. März 2025 um 12:17)

    Die Frage ist aber, wieviel das am Ende dann tatsächlich bringt. DNSSEC wie auch andere DNS Features haben strukturbedingt immer das Problem, dass sie clientseitig überschrieben werden können. Egal wie du sicher du deine Zone machen willst, ein Client kann das einfach ignorieren. Auch können Resolver (vor allem im Unternehmensumfeld) hier ganz andere Dinge machen und beliebige Records überschreiben.

    Auch das Thema Datenschutz ist so eine Sache. Es bringt ja am Ende nichts, wenn ich mein DNS explizit in Deutschland hoste, nur dass dann die Clients trotzdem Google oder Cloudflare als Resolver nutzen. Zumal DNS ja sowieso public ist und man hier sicher die Frage stellen darf inwiefern das überhaupt datenschutzrechtlich relevant ist. Der eingesetzte Resolver der Clients ist da weitaus kritischer.

    Letztendlich muss DNS einfach funktionieren. Wirklich 100% sicher wird das nie werden. Da muss dann jeder für sich selbst überlegen wieviel Arbeit man sich für 0,5% mehr Sicherheit machen möchte.

    Zitat von Paul

    Letztendlich muss DNS einfach funktionieren. Wirklich 100% sicher wird das nie werden. Da muss dann jeder für sich selbst überlegen wieviel Arbeit man sich für 0,5% mehr Sicherheit machen möchte.

    Der Anbieter kann nur die Möglichkeiten anbieten, jeder kann dann gern clientseitig entscheiden, ob er sie nutzen will oder nicht. Ich benutze weder die DNS-Server noch die Resolver von Cloudflare und Google. Wenn ich natürlich eine Website von Cloudflare, Google, Microsoft oder sonstigen "No-Rules" Anbietern aufrufe bzw aufrufen muss, dann habe ich in puncto Datenschutz sowieso verloren. Da ist DNS dann schon weitgehend irrelevant.

    Welche (Mehr-)Arbeit durch die Benutzung von deSEC im Vergleich zu Cloudflare bei mir anfällt, erschliesst sich mir aber erst einmal nicht. Ich sehe das eher als 0,5% weniger Arbeit für 0,5% mehr Sicherheit, wenn wir bei der fiktiven Zahl mal bleiben wollen.

    Bei dem Thema DNSSEC bin ich vor geraumer Zeit mal auf diese kritischen Beiträge gestoßen (Thomas Ptacek ist u.a. bei Hacker News sehr umtriebig und hat früher auch viel auf Reddit gepostet) - paste die Links hier mal rein, falls es jemanden interessiert und nicht bereits bekannt ist... nette Bettlektüre auf jeden Fall (leider nur in englischer Sprache verfügbar und aus einer sehr amerikanischen Perpektive heraus argumentiert):

    https://sockpuppet.org/blog/2016/10/2…l-the-internet/

    https://sockpuppet.org/blog/2015/01/15/against-dnssec/

    https://sockpuppet.org/stuff/dnssec-qa.html

    Hey netcup! Great news for you! No need to try any longer to get your DNSSEC straight! Just skip the check box in the DNS-Editor and remove this completely bad and useless feature once and forever. ^^