Nobody thinks of running a website without HTTPs. Safer DNS still seems optional Systems Approach  Last week I turned on DNSSEC (Domain Name System Security Extensions) for the systemsapproach.org domain. No need to applaud; I was just trying to get an understanding of what the barriers to adoption might be while teaching myself about the technology.…

Internet Technologies > DNSSEC > DNSSEC Tools DNSSEC Tools Tools for testing whether DNSSEC is correctly implemented for your domain: Tools for using DNSSEC on your local system: To test what will hap...

Current system status. View active incidents or upcoming maintenance. Subscribe to receive status notifications.

Das Domain Name System - kurz DNS - ist einer der Grundpfeiler des modernen Internet. Umso wichtiger, dass es zuverlässige und unfälschbare Informationen liefert. Dabei hilft DNSSEC - die DNS Security Extensions. Was das ist, was es kann, wie man es aktiviert und was man davon hat, erklärt den Hosts in dieser Folge ein Gast: DNSSEC-Experte Peter Thomassen arbeitet seit Jahren an vorderster Front bei verschiedenen Gremien mit und entwickelt die Sicherhetismerkmale von DNS weiter. Er kümmert sich besonders um Automatisierung - ein Thema, bei dem DNSSEC anderen großen Ökosystemen wie dem CA-Kosmos noch hinterherhinkt. - https://desec.io/ - Malware in TXT Records: https://arstechnica.com/security/2025/07/hackers-exploit-a-blind-spot-by-hiding-malware-inside-dns-records/ - Post-Quantum DNSSEC Testbed & Feldstudie: https://pq-dnssec.dedyn.io/ - DS-Automatisierung: RFC 7344, 8078, 9615 - ETF-Draft "Dry run DNSSEC": - https://datatracker.ietf.org/doc/draft-yorgos-dnsop-dry-run-dnssec/ - https://www.ietf.org/archive/id/draft-yorgos-dnsop-dry-run-dnssec-02.html - ICANN SSAC Report zu DS-Automatisierung (SAC126): https://itp.cdn.icann.org/en/files/security-and-stability-advisory-committee-ssac-reports/sac-126-16-08-2024-en.pdf - Automatisierungs-Guidelines für Registrierungsstellen (Entwurf): https://datatracker.ietf.org/doc/draft-shetho-dnsop-ds-automation/ - Folgt uns im Fediverse: @christopherkunz@chaos.social @syt@social.heise.de Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

DNSSEC is widely touted as a crucial security upgrade for the domain name system, but as so often is the case with security measures, it can also cause serious problems. DENIC, the registry operator f...

Darmstadt and Frankfurt (ots) - The National Research Center for Applied Cybersecurity ATHENE has uncovered a critical flaw in the design of DNSSEC, the Security Extensions of...

Yesterday (Wednesday) the last authoritative root server for the domain name system switched over to the DNS Security Extensions (DNSSEC) security protocol. The final stage of the transition has so far proceeded problem-free

Die DENIC eG hat eine DNSSEC-Störung für .de-Domains nach mehreren Stunden behoben. Am Abend des 5. Mai kam es bei zahlreichen .de-Domains zu Problemen bei der Erreichbarkeit. Nutzer meldeten Fehlermeldungen im Browser, Ausfälle von Apps und Schwierigkeiten beim E-Mail-Verkehr. Betroffen waren demnach verschiedene Provider und DNS-Dienste gleichzeitig. Nach Angaben der DENIC lag die Ursache im DNS-System für .de-Domains. Besonders DNSSEC-signierte Domains waren zeitweise eingeschränkt erreichbar. Die Organisation teilte in der Nacht zum Mittwoch mit, dass die Systeme inzwischen wieder stabil laufen. Die genaue Ursache werde weiterhin untersucht. DNSSEC-Fehler sorgte für Probleme bei .de-Domains…

Introduction: Recent aviation disruptions have spotlighted the industry's digital vulnerabilities, with a core issue lying in the foundational Domain Name System (DNS). The revelation that GPS.gov, the official U.S. GPS information domain, failed to implement mandatory DNSSEC protection for three years post‑directive underscores a critical gap in the cyber resilience of Global Navigation Satellite Systems (GNSS). This oversight, compounded by lingering configuration errors, creates an exploitable vector for threat actors aiming to disrupt critical transport infrastructure through DNS poisoning and spoofing attacks.

A serious vulnerability named KeyTrap in the Domain Name System Security Extensions (DNSSEC) feature could be exploited to deny internet access to applications for an extended period.

A serious vulnerability named KeyTrap in the Domain Name System Security Extensions (DNSSEC) feature could be exploited to deny internet access to applications for an extended period.

Technitium DNS Server aggressively tries to fetch missing RRSIG records or mismatched DNSKEY records. An attacker in control of a domain can cause a vulnerable system to generate excessive network traffic. Fixed in 15.0.

Meine Domains sind schon lange per DNSSEC gesichert. Für den Webserver hatte ich auch schnell TLSA-Records veröffentlicht, damit die TLS-Verbindung per DANE abgesichert ist. Seit Postfix 2.11 beherrscht auch der MTA die Prüfung von TLSA-Records, damit lässt sich ausgehende E-Mail-Verschlüsselung kryptographisch verifizieren, ohne sich auf das CA-System verlassen zu müssen. ### Postfix konfigurieren Zwei Zeilen in der `main.cf` reichen, damit Postfix beim Versand TLSA-Records prüft: postconf -e "smtp_dns_support_level = dnssec" postconf -e "smtp_tls_security_level = dane" `smtp_dns_support_level = dnssec` weist den SMTP-Client an, DNSSEC-validierte DNS-Antworten zu verlangen. `smtp_tls_security_level = dane` aktiviert die TLSA-Prüfung, Postfix sucht automatisch nach TLSA-Records für den Zielserver. Gibt es keinen TLSA-Record oder kein DNSSEC, fällt Postfix auf opportunistisches TLS zurück. Die Kommunikation mit Servern ohne DANE leidet also nicht. Details stehen in der Postfix DANE-Dokumentation. ### TLSA-Record erstellen Der TLSA-Record enthält einen Hash des TLS-Zertifikats (oder des Public Keys), den der Empfänger-Mailserver im DNS veröffentlicht. So erzeugt man den SHA-256-Hash des Public Keys aus dem Zertifikat: openssl x509 -in postfix.pem -noout -pubkey \ | openssl pkey -pubin -outform DER \ | openssl dgst -sha256 Den Hash trägt man als TLSA-Record in die DNS-Zone ein, für Port 25 (SMTP) und optional Port 465 (Implicit TLS): _25._tcp.smtp.kernel-error.de. 3600 IN TLSA 3 1 1 8cb0fc6c527506a053f4f14c8464bebbd6dede2738d11468dd953d7d6a3021f1 _465._tcp.smtp.kernel-error.de. 3600 IN TLSA 3 1 1 8cb0fc6c527506a053f4f14c8464bebbd6dede2738d11468dd953d7d6a3021f1 Die Felder `3 1 1` bedeuten: DANE-EE (End Entity, kein CA-Vertrauen nötig), SPKI (nur Public Key, nicht das ganze Zertifikat), SHA-256. Der TTL von 3600 Sekunden ist bewusst kurz, bei einem Zertifikatswechsel soll der alte Record schnell ablaufen. Mehr zum Aufbau von TLSA-Records steht in RFC 7672. ### Testen Mit `posttls-finger` (Teil von Postfix) lässt sich prüfen, ob die DANE-Verifikation funktioniert: posttls-finger -t30 -T180 -c -L verbose,summary kernel-error.de Die entscheidende Zeile in der Ausgabe: Verified TLS connection established to smtp.kernel-error.de[...]:25: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits) **Verified** statt **Untrusted** , der TLSA-Record stimmt mit dem Zertifikat überein, die Verbindung ist DANE-verifiziert. Im Postfix-Log sieht man denselben Unterschied: smtp[3779]: Verified TLS connection established to mx02.example.de[...]:25 smtp[3779]: Untrusted TLS connection established to smtp2.example.de[...]:25 **Verified** = DANE-geprüft und in Ordnung. **Untrusted** = TLS aktiv, aber kein gültiger TLSA-Record vorhanden, die Verschlüsselung funktioniert trotzdem, nur ohne kryptographische Verifikation des Zertifikats. ### Warum DANE besser ist als das CA-System DANE verankert das Vertrauen im DNS statt bei Certificate Authorities. Der Domaininhaber veröffentlicht den Hash seines Zertifikats selbst, DNSSEC schützt den Record vor Manipulation. Keine CA kann ein falsches Zertifikat für die Domain ausstellen und damit die Verbindung aufbrechen. Das Ganze kostet nichts außer einem DNS-Record und funktioniert für jeden, der DNSSEC betreibt. Zum Vergleich: Das damalige „E-Mail made in Germany“ (EmiG) setzte auf eine TÜV-Zertifizierung, die sich nur große Provider leisten konnten. Sicherheit nur für Unternehmen mit Budget, das ist das Gegenteil von dem, was ich unterstütze. * * * **Update August 2014:** Ich habe Mailgraph um DANE-Graphen erweitert, um den Anteil verifizierter Verbindungen zu visualisieren. Siehe auch: TLSA/DANE-Records prüfen, TLSA- und DANE-Records manuell prüfen: Schritt für Schritt mit OpenSSL, Postfix und DANE: „Server certificate not verified“ debuggen, Postfix: Eingehende E-Mails ohne TLS ablehnen Fragen? Einfach melden.