DNSSEC-Prüfung

Die DNSSEC-Prüfung validiert die Kette von der Root-Zone bis zu deiner Domain selbst, Stufe für Stufe und mit eigener Kryptografie. Sie verlässt sich nicht auf das AD-Flag eines Resolvers. Das Werkzeug braucht eine Lizenz.

So prüfst du

Tipp die Domain in Domain und klick Prüfen. Die Resolver-Auswahl daneben bestimmt, über welchen Resolver die Daten geholt werden. Die App fragt dabei mit gesetztem CD-Bit, der Resolver liefert die Daten also auch dann, wenn seine eigene Validierung scheitert. Nur so lässt sich eine kaputte Kette überhaupt untersuchen.

Was geprüft wird

1. Die App findet die Zonengrenzen, bei www.beispiel.de also Root, de und beispiel.de.
2. Für die Root dienen die offiziellen Vertrauensanker (KSK-2017 und KSK-2024) als Ausgangspunkt.
3. Für jede Zone darunter: DS-Record in der Elternzone, Signatur des DS, passt ein DNSKEY der Zone zum DS, ist das DNSKEY-RRset gültig signiert.
4. Zum Schluss die Signatur des A-Records der Domain. Gibt es keinen, prüft die App stattdessen den SOA der Zone.

Außerdem bewertet sie die verwendeten Algorithmen und den Ablauf der Signaturen.

Die Tabellen

Vertrauenskette zeigt je Zone den DS (Key-Tag, Algorithmus, Digest), die DNSKEYs (KSK oder ZSK mit Key-Tag) und den Status:

Status	Bedeutung
gültig	Die Stufe ist korrekt verankert und signiert.
unsigniert	Kein DS und keine Schlüssel, die Zone nutzt kein DNSSEC.
signiert, ohne DS	Die Zone ist signiert, aber die Elternzone kennt den Schlüssel nicht.
DS passt nicht	Kein DNSKEY der Zone passt zum DS.
Signatur ungültig	Das DNSKEY-RRset ist nicht gültig signiert.
fehlerhaft	DS vorhanden, aber die Zone veröffentlicht keine Schlüssel.
nicht prüfbar	Algorithmus, den die App nicht kryptografisch prüfen kann.
unsicher / nicht geprüft	Stufen unterhalb einer unsignierten bzw. gebrochenen Stufe.

Signaturen listet jede geprüfte Signatur mit RRset, Schlüssel, Algorithmus, Ablaufdatum (Gültig bis) und Ergebnis.

Befunde und was zu tun ist

Befund	Was zu tun ist
DNSSEC-Kette gültig	Nichts. Jede Stufe ist korrekt signiert.
… ist nicht mit DNSSEC gesichert (Warnung)	Deine Domain nutzt kein DNSSEC. Aktivier DNSSEC beim DNS-Hoster und hinterleg den DS-Record beim Registrar.
Keine DNSSEC-Vertrauenskette ab … (Hinweis)	Eine übergeordnete Zone ist nicht signiert. Darauf hast du keinen Einfluss.
DNSSEC-Kette gebrochen (Fehler)	Validierende Resolver wie 1.1.1.1, 8.8.8.8 oder 9.9.9.9 liefern SERVFAIL. Für viele Nutzer ist die Domain dann nicht erreichbar. Die Befunde darunter nennen die Ursache. Sofort handeln.
… ist signiert, aber ohne DS in der Elternzone (Warnung)	Die Signatur ist wirkungslos. DS oder DNSKEY beim Registrar eintragen.
DS vorhanden, aber keine DNSKEYs (Fehler)	Typisch, wenn DNSSEC beim Hoster abgeschaltet wurde, der DS beim Registrar aber blieb. DS entfernen oder DNSSEC wieder aktivieren.
kein DNSKEY passt zum DS (Fehler)	Meist nach einem Schlüssel- oder Providerwechsel ohne DS-Aktualisierung. Den aktuellen DS beim Registrar eintragen.
DNSKEY-RRset nicht gültig signiert (Fehler)	Die Signatur ist abgelaufen oder falsch. Prüf die Signierung beim DNS-Hoster.
DS-Record von … nicht gültig signiert (Fehler)	Problem in der Elternzone.
… nicht gültig signiert (Fehler)	Die Signatur des geprüften A- bzw. SOA-RRsets stimmt nicht.
DS von … nutzt SHA-1 (Warnung)	SHA-1 gilt als veraltet. Beim Registrar einen DS mit SHA-256 hinterlegen und den SHA-1-DS entfernen.
unsicherer Algorithmus … (Fehler)	Die Zone mit Algorithmus 13 (ECDSA P-256) oder 8 (RSA/SHA-256) neu signieren.
veralteter Algorithmus … (Warnung)	SHA-1-basierte Signaturen werden nicht mehr überall validiert. Auf Algorithmus 13 oder 8 wechseln.
Algorithmus … hier nicht prüfbar (Hinweis)	Die Signaturen werden nicht kryptografisch geprüft. Kein Fehler der Domain.
abgelaufene DNSKEY-Signatur (Warnung)	Mindestens eine Signatur ist abgelaufen, eine andere gültige trägt die Kette noch.
Signatur läuft in … Stunden ab (Warnung)	Weniger als 7 Tage bis zum Ablauf. Normalerweise erneuert der Signierer rechtzeitig. Prüf, ob die automatische Neusignierung läuft.
Nächster Signaturablauf (Hinweis)	Datum der nächsten ablaufenden Signatur.
… existiert nicht (NXDOMAIN) (Hinweis)	Den Namen gibt es nicht. Den Nichtexistenz-Beweis (NSEC/NSEC3) prüft die App nicht, sie prüft dann den SOA der Zone.

Gut zu wissen

• Eine gebrochene Kette ist schlimmer als kein DNSSEC. Wer DNSSEC abschalten will, entfernt zuerst den DS beim Registrar, wartet dessen TTL ab und schaltet erst dann die Signierung aus.
• Nach einem Providerwechsel lohnt die Prüfung direkt nach dem Umzug. Ein vergessener alter DS ist der häufigste Fehler.
• Mit der Beobachtung prüft die App DNSSEC regelmäßig und meldet sich, sobald sich das Ergebnis ändert.