DNSSEC für ISPs

Die zunehmende Kenntnis über DNS-Bedrohungen und die Entwicklung anderer Initiativen im Bereich Internetsicherheit wie Secure Sockets Layer lassen vermuten, dass DNSSSEC in Zukunft für Internetgeschäfte unerlässlich sein wird. Diese Entwicklung wird durch interne Anforderungen wie Risikomanagement und das Bedürfnis der Benutzer nach mehr Sicherheit im Internet vorangetrieben.

Durch schnelles Anpassen an die neuen Entwicklungen können ISPs ihre Kunden besser schützen, ihre Führungsposition im Bereich des Kundenschutzes und der Internetsicherheit festigen und sich von Wettbewerbern abheben. Außerdem können sie möglicherweise die Entwicklung von Produkten und Services – und anderen Initiativen der Branche – beeinflussen, die ihre Branche unterstützen und fördern.

DNSSEC – Vorteile für proaktive ISPs

Indem Sie dieses wichtige Element der Internetsicherheit hinzufügen, können Sie:

• Das Risiko Ihrer Kunden mindern, Opfer von Internetkriminalität zu werden.
• Ihre Marke und Ihren guten Ruf schützen und festigen.
• Das Vertrauen und die Loyalität Ihrer Kunden stärken.
• Mehr Internetsicherheit als Teil des Wertversprechens an Ihre Kunden bieten.
• Kunden gewinnen und halten, denen Sicherheit wichtig ist.
• Ihr Kerngeschäft schützen, indem Sie mehr Vertrauen ins Internet schaffen.
• Ihre Führungsposition und Ihren Einfluss nutzen, um die Zukunft von DNSSEC mitzugestalten.

ISPs spielen eine entscheidende Rolle für eine einwandfreie Funktionsweise des Internets und den Erfolg von DNSSEC. Die von den ISPs verwalteten rekursiven Namenserver (Resolver) bieten eine schnelle Auflösung von Millionen von Domainnamen pro Tag. Rekursive Namenserver sind auch der Hauptvektor für Cache Poisoning.

DNSSEC-fähige rekursive Namenserver verhindern Cache Poisoning auf folgende Weise: Wenn ein rekursiver Namenserver DNS-Informationen von dem autoritativen Server einer Zone anfordert und die Zone signiert ist, fordert der rekursive Namenserver auch den DNSSEC-Schlüssel der Zone an, um zu verifizieren, dass die erhaltenen Informationen mit den Informationen auf dem autoritativen Server identisch sind.

Um die Verbreitung von DNSSEC im Internet-Ökosystem zu unterstützen, müssen Sie DNSSEC auf Ihren rekursiven Namenservern aktivieren und die Kompatibilität Ihrer Netzwerkinfrastruktur (z. B. Firewalls, Router, Schalter und Lastverteiler) mit den größeren DNS-Antworten, die DNSSEC generiert, gewährleisten. Langfristig können Sie DNSSEC in Ihre Entwicklungs- und Testprozesse integrieren. ISPs, die DNS-Hosting-Dienste anbieten, müssen DNSSEC auch für diese Funktionen aktivieren.

Die meisten im Handel verfügbaren rekursiven Namenserver unterstützen DNSSEC bereits und benötigen lediglich ein Update oder eine Parameteränderung. Sie müssen jedoch möglicherweise ältere Namenserver und vorhandene Netzwerkgeräte aktualisieren oder ersetzen.

Verisign hilft Ihnen dabei, die für Sie beste Strategie zur DNSSEC-Implementierung zu finden.

Die folgende Tabelle enthält Empfehlungen zur Lösung einiger der häufigsten Probleme bei der DNSSEC-Implementierung.

Registrare können ihr Ziel eines DNSSEC-fähigen Systems, das das Vertrauen der Registranten und Endbenutzer aufrechterhält, neue Ertragsmöglichkeiten bietet und ihnen einen Vorteil vor Wettbewerbern schafft, nach und nach in wohlüberlegten Schritten erreichen. Basierend auf den Erfahrungen bei der Arbeit mit Registraren und ISPs und der Implementierung von DNSSEC in der Root-Zone, .edu, .net und .com schlagen wir Ihnen folgende erste Schritte vor.

Entdecken und Lernen

• Überlegen Sie, wie DNSSEC in Ihre Internetsicherheitsstrategie passt.
• Entdecken Sie die Vorteile und Herausforderungen bei der Implementierung von DNSSEC.
• Informieren Sie sich über öffentliche Schlüsselkryptografie, Verschlüsselungsstandards und das Zusammenspiel digitaler Signaturen mit öffentlichen/privaten Schlüsseln.
• Vergewissern Sie sich, dass Ihre IT- und Kundensupportmitarbeiter Schulungen erhalten, um mit auf DNSSEC bezogenen Problemen umgehen zu können.
• Nutzen Sie Verisign-Ressourcen und planen Sie Strategien, um Ihre Kunden über DNSSEC zu informieren.

Planen

• Setzen Sie einen Zeitrahmen für die Implementierung von DNSSEC fest.
• Legen Sie fest, wie Sie DNSSEC in Ihre vorhandene DNS-Architektur integrieren möchten.
• Entwerfen Sie Richtlinien und Prozesse für eine systematische Integration aktualisierter öffentlicher Schlüssel von Registraren oder anderen Vertrauensankern.

Bewerten und Aktualisieren

• Machen Sie eine Bestandsaufnahme und prüfen Sie Ihre Infrastruktur. Finden Sie zum Beispiel heraus, welche Version von BIND oder Unbound DNS Sie ausführen und ob die Namenserver NSEC3 und SHA-256 unterstützen.
• Bestimmen Sie, ob DNSSEC Auswirkungen auf die Netzwerkbandbreite hat und wie genau diese Auswirkungen aussehen (größere DNSSEC-Pakete erhöhen den Netzwerkverkehr).
• Überlegen Sie, wie sich DNSSEC auf die Verwaltung Ihrer rekursiven Namenserver auswirkt.
• Erkundigen Sie sich bei Ihren Hardware-Anbietern, ob diese DNSSEC in ihre Roadmap integrieren können und ob Upgrades für Ihre vorhandenen Netzwerkgeräte vorhanden sind.
• Bewerten Sie Produkte und Services, die Ihre Implementierung unterstützen.
• Aktualisieren Sie Ihre DNS-Hardware und Namenserver-Software bei Bedarf, sodass sie mit DNSSEC kompatibel ist.

Zusammenarbeiten

• Arbeiten Sie mit Industriekonsortien, Normungsorganisationen und Anbietern von Software und Hardware zusammen, um Lösungen und Herangehensweisen zu entwickeln, die den Bedürfnissen Ihres Unternehmens entsprechen.
• Kollaborieren Sie und entwickeln Sie Strategien für die Endbenutzererfahrung, wenn DNSSEC "schlechte" Daten entdeckt.