Warum braucht es DNSSEC?
Um DNSSEC und seinen Nutzen zu verstehen, lohnt sich ein Blick auf die Grundlagen der E-Mail-Kommunikation: Jedes Mal, wenn Sie eine E-Mail versenden oder eine Website aufrufen, wird im Hintergrund eine Abfrage gestellt. Der Grund dafür ist, dass Ihr Gerät zwar den Namen des Ziels kennt, etwa mailbox.org, aber es kennt nicht dessen technische Adresse, die aus einer Zahlenfolge besteht. Um diese Zahlenfolge zu erfahren, stellt Ihr Gerät eine Abfrage bei einem Verzeichnis, dem so genannten Domain Name System (DNS).
Diese Auskunft ist die Grundlage für alles Folgende, denn erst mit ihr steht fest, mit welchem Server Ihr Gerät überhaupt kommuniziert. Allerdings wurde DNS in einer Zeit entworfen, in der Vertrauen im Netz selbstverständlich war. Eine Antwort trägt deshalb keinen Nachweis, von wem sie eigentlich stammt.
Wer sich also in den Weg der Anfrage schaltet, kann eine falsche Adresse zurückgeben, ohne dass Ihr Gerät eine Möglichkeit hätte, dies zu erkennen. In der Folge würde es eine Verbindung zu einem falschen Ziel aufbauen und Ihre Nachricht an einen fremden Server gelangen, ohne dass Sie oder Ihr Programm etwas davon merken.
Was ist DNSSEC?
DNSSEC steht für Domain Name System Security Extensions und schließt die beschriebene Lücke. Die Idee dahinter ist eine Art digitales Siegel. In Bezug auf das Beispiel mailbox.org bedeutet das: Jede Antwort aus unserem Verzeichnis wird kryptografisch signiert, vergleichbar mit einem Siegel auf einem Brief. Ihr Gerät prüft dieses Siegel, bevor es die Antwort verwendet. Ist es unversehrt, steht fest, dass die Auskunft tatsächlich von mailbox kommt und das Siegel unterwegs von niemandem manipuliert wurde. Wurde es hingegen manipuliert, wird die Antwort verworfen und die Verbindung kommt gar nicht erst zustande.
Dieses Siegel lässt sich auch nicht einfach imitieren. Es ist Teil einer Kette, die bis zur obersten Ebene zurückreicht: Die Wurzel des DNS bestätigt die Endung .org, die unsere Domain bestätigt. Unsere Domain wiederum bestätigt die einzelnen Einträge. So bürgt jedes Glied für das nächste.
