DNSSEC für Entscheidungsträger

DNSSEC ist am effektivsten, wenn es universell eingesetzt wird – von der Spitze der Internethierarchie (der Root-Zone und Top-Level-Domains) bis hin zu individuellen Domainnamen.

Aufgrund der Größe, Komplexität und Wirkung eines globalen DNSSEC-Systems spielen Entscheidungsträger in der Regierung und im privaten Sektor eine wesentliche Rolle für den Erfolg von DNSSEC. Da politische Entscheidungsträger auf nationaler und internationaler Ebene in den Bereichen Telekommunikation, technische Standards, Handel, Strafvollzug sowie nationale Sicherheit und Verteidigung tätig sind, verfügen sie über den nötigen Überblick, Einfluss und Handlungsspielraum, um den effektiven Einsatz und die positive Entwicklung von DNSSEC mitzubewirken.

Vorteile auf hoher Ebene

DNSSEC bietet allen Mitgliedern des Internet-Ökosystems neue Möglichkeiten. Die Wirkung auf Endbenutzer und die Organisationen, mit denen sie interagieren, ist dabei am direktesten und weitreichendsten. Die Erhöhung der Internetsicherheit durch DNSSEC bietet folgende Vorteile:

Die Implementierung von DNSSEC ist nicht unkompliziert. Sie erfordert umfangreiche Ressourcen, Dokumentation, Tests und Koordination innerhalb der Branche. Außerdem bringt sie komplexe Veränderungen mit sich, die einige Mitglieder des Internet-Ökosystems mehr als andere betreffen. Sie sollten diese Faktoren beim Empfehlen oder Implementieren von Richtlinien, Zeitrahmen und anderen Vorgaben berücksichtigen.

• Registrare müssen zum Beispiel ihre Systeme dahingehend aktualisieren, dass sie mit einer DNSSEC-fähigen Registry verknüpft sind, einen Mechanismus bereitstellen, über den Kunden wichtiges DNSSEC-Material an den Registrar schicken und (wenn der Registrar DNS-Hosting-Dienste bereitstellt) komplexe, ressourcenintensive Services für wichtige DNSSEC-Verwaltungsprozesse und Signierung hinzufügen können.
• ISPs müssen DNSSEC auf ihren rekursiven Namenservern aktivieren, die Kompatibilität ihrer Geräte gewährleisten und bedenken, dass DNSSEC-Antwortpakete größer als die üblichen DNS-Pakete sind und die Bandbreitenanforderung erhöhen können.
• Hardware- und Software-Anbieter müssen vorhandene Produkte aktualisieren und neue Produkte entwickeln, die mit DNSSEC kompatibel sind und DNSSEC-Dienste unterstützen.

Jeder dieser Prozesse ist hochkompliziert, wirkt sich auf den Systembetrieb aus, erfordert umfangreiche Tests und kann Monate dauern.

Jede DNSSEC-Implementierung muss in Phasen vor sich gehen, insbesondere um den zuverlässigen Betrieb von Top-Level-Domains (TLDs) von globaler Bedeutung wie .com und .net zu gewährleisten. Langfristige Strategien, Planung und Kollaboration – nicht nur innerhalb von und zwischen Organisationen und Branchen, sondern auch auf internationaler Ebene – bilden eine stabile Basis für eine erfolgreiche Implementierung.

Verisign ist darum bemüht, seinen Kunden zuverlässige Internet-Services zu bieten. Als Registry für .com und .net und Anbieter wichtiger Services für die Infrastruktur des Internets ist es unser Ziel, Innovationen umzusetzen und dabei die Internet-Community vor neuen Internetbedrohungen zu schützen. Die Arbeit an DNSSEC stellt einen weiteren Schritt bei unseren andauernden Bemühungen dar, die Internet-Infrastruktur zu stärken und in sie zu investieren.

Verisign ist seit 2000 an der Entwicklung von DNSSEC beteiligt, und unsere Ingenieure haben eine entscheidende Rolle bei der Ausarbeitung des DNSSEC Hashed Authenticated Denial of Existence(NSEC3)-Protokolls gespielt. Wir werden auch weiterhin mit der technischen Internet-Community zusammenarbeiten und uns an Branchenorganisationen wie der DNSSEC Coalition beteiligen, wenn es um den Test, die Implementierung und die weitere Entwicklung von DNSSEC geht.

Verisign hat das DNSSEC Interoperability Lab eingerichtet, damit Sie die Implikationen einer DNSSEC-fähigen Umgebung besser nachvollziehen können. Das Interoperability Lab war eine Standalone-Umgebung mit einer Suite von mehr als 8000 Testfällen und ermöglichte den Mitgliedern der IT-Gemeinde, die Kompatibilität ihrer Internet- und Unternehmensinfrastrukturkomponenten mit DNSSEC zu testen.

Im Juli 2010 hat Verisign—in Zusammenarbeit mit der Internet Assigned Numbers Authority (IANA) und dem. US-Handelsministerium (DoC)—die Umsetzung von DNSSEC in der Root-Zone abgeschlossen (der Startpunkt in der DNS-Hierarchie). Ebenfalls im Juli hat Verisign in Zusammenarbeit mit EDUCAUSE und dem US-Handelsministerium .edu aktiviert und arbeitet gerade daran, DNSSEC für .net und .com zu aktivieren. Darüber hinaus wurden einige Top-Level-Domains (TLDs) von anderen Registrys signiert, inklusive .gov, .org und der Country Code TLDs für Brasilien, Bulgarien, Tschechien, Puerto Rico und Schweden.

Darüber hinaus ergreifen wir zahlreiche Maßnahmen, um Mitglieder des Internet-Ökosystems dabei zu unterstützen, DNSSEC erfolgreich zu nutzen. Diese Schritte beinhalten das Veröffentlichen technischer Ressourcen, die Bereitstellung einer operativen Testumgebung und des DNSSEC Interoperability Labs, die Beteiligung an Industrieforen und die Entwicklung von Tools zur Vereinfachung der DNSSEC-Verwaltung.