Logo von heise online

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Dusan Zivadinovic 5

DNSSEC: ISC läutet Schlüsseltausch für BIND9 ein Update

DNSSEC: ISC läutet den Schlüsseltausch für BIND9 ein

Bild: c't

Das Update ist für alle BIND9-Betreiber wichtig, die die Software zum Validieren von signierten DNS-Antworten einsetzen, aber kein automatisches Schlüssel-Update eingerichtet haben.

ISC hat eine neue Version seiner DNS-Server-Software herausgebracht. Die wichtigste Änderung betrifft die Validierung von signierten DNS-Replys: Die aktuelle BIND-Version 9.11.1 enthält eine neue bind.keys-Datei. Darin ist der neue öffentliche Key Signing Key (KSK) enthalten, den die ICANN am 11. Oktober in der globalen Root-Zone publizieren will.

Damit können alle Nutzer, die BIND9 zum Validieren einsetzen, aber keine automatische Schlüsselaktualisierung konfiguriert haben (Key-Konfiguration über das Statement trusted-keys), ihr System für den bevorstehenden Schlüsseltausch der Root-Zone frühzeitig einrichten.

Key-Rollover: Manuell und automatisch

BIND9-Systeme, auf denen der Root-Key mittels des Managed-Keys-Statement eingerichtet sind oder die die Option dnssec-validation auto verwenden, holen sich den aktuellen Schlüssel automatisch, sobald er publiziert ist.

Außerdem führt ISC in den Release Notes diverse kleine Fehlerbereinigungen, Security-Fixes und kleine Feature-Ergänzungen auf. Anders als in den Release Notes vermerkt, ist die Datei bind.keys nocht nicht separat erhältlich (ISC ist informiert). Wer sie braucht, muss also das komplette Archiv herunterladen. BIND9.11.1 ist auf dem Webserver von ISC veröffentlicht.

Betreiber von validierenden Servern können seit einiger Zeit prüfen, ob ihr System für den bevorstehenden Schlüsseltausch gerüstet ist (Key-Rollover). Dafür ist eine Anmeldung bei der ICANN erforderlich. Ein entsprechendes Verfahren hat die ICANN im Rahmen ihres 58. Treffens in Kopenhagen vorgestellt.

[Update]: 21.4.17, 12:01, das Key-File ist nun separat erhältlich. (dz)

5 Kommentare

Themen:

Anzeige
  1. Mit allen protokollarischen Würden: Neuer KSK für die DNS-Rootzone im Anmarsch

    Mit allen protokollarischen Würden: Neuer KSK für die Rootzone

    Das Protokoll liest sich wie ein Hofzeremoniell aus Cyberland: Hof gehalten wurde Donnerstagnacht in der Key Management Facility, 18155 Technology Drive, Culpepper, Virginia. Zweck des Ganzen: Ein neuer Masterschlüssel fürs DNS wurde benötigt.

  2. DNSSEC-Schlüsseltausch 2017: ICANN setzt Testseite für Resolver auf

    DNSSEC-Schlüsseltausch 2017: ICANN setzt Testseite für Resolver auf

    Sollte es Angreifern gelingen, einen DNSSEC-Schlüssel zu knacken, können sie glaubwürdig aussehende, aber falsche DNS-Replys verbreiten. Deshalb müssen Schlüssel ab und zu gewechselt werden. Bei der Root-Zone ist das eine heikle Sache.

  3. DNSSEC: Verfahren für Schlüsseltausch in der Rootzone festgelegt

    DNSSEC: Verfahren für Schlüsseltausch in der Rootzone festgelegt

    Das weltweite DNS mit Security Extensions, das einen wichtigen Teil des Internet-Verkehrs absichert, läuft seit dem Start mit demselben Root-Key. Der erste Schlüsseltausch dürfte heikel werden – die Prozedur soll rund eineinhalb Jahre dauern.

  4. DNSSEC-Schlüsseltausch 2017 – die Vorbereitungen laufen

    Schlüssel, Sicherheit, DNS, DNSSEC

    Wer am 11. Oktober 2017 meint, dass sein Internet kaputt ist, der sollte bei seinem Provider nachfragen, ob das mit dem DNSSEC-Schlüsseltausch zu tun hat. Bis dahin ist es zwar noch ein wenig hin, doch die Vorbereitungen laufen auf Hochtouren.

  1. Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Die etablierte TLS-Verschlüsselung mit signierten Zertifikaten ist nicht wirklich sicher. Das modernere DANE prüft mittels DNSSEC ohne externen Stempel, ob das vom Server präsentierte Zertifikat echt und damit die verschlüsselte Verbindung beim Mail- und Webseiten-Transport vertrauenswürdig ist. Das lässt sich an einem Vormittag einrichten.

  2. Namen-Checker: DNSSEC für Clients und Client-Netze einrichten

    DNSSEC-Resolver-Test

    DANE sichert Zertifikate, die Internet-Server als Identitätsnachweis und zur Verschlüsselung nutzen. Der Anwender kann sich auf die DANE-Infos aber nur verlassen, wenn ein DNS-Client sie auf sichere Weise besorgt hat. Solch einen DNSSEC-fähigen Resolver richtet man ganz leicht lokal auf PCs ein oder stellt ihn als Server-Funktion im Netz zur Verfügung.

  3. Syrien: Der Angriff auf einen Hilfskonvoi und das Blame-Game

    Das Abkommen zwischen den USA und Russland steht vor einer neuen Zerreißprobe. Update

  1. ARD und ZDF fordern jährliche Gebührenerhöhungen

    Rundfunkbeitrag soll zunächst auf 18,28 Euro steigen

  2. TT Isle of Man 2017

    TT Isle of Man feierte 2017 ihr 110. Jubiläum und die Zuschauer strömten wie eh und je zu Tausenden auf die idyllische Insel in der Irischen See. Wegen der Verletzung von Altmeister John McGuiness lief es auf ein Duell zwischen Ian Hutchinson und Michal Dunlop hinaus. Doch es gab auch einige Überraschungen

  3. Fahrbericht: VW Tiguan 2.0 TSI Allspace

    Der VW Tiguan der zweiten Generation, der sich seit 2016 zu ungeahnter Beliebtheit aufschwingt, kommt im November in einer Langversion zu uns. In den USA kommt er unter der schlichten Bezeichnung VW Tiguan bereits in diesem Sommer auf den Markt. Wir konnten ihn dort bereits kurz ausprobieren

  4. Windows 10 S: Das Image des "Trojaner-geschützten" Windows bröckelt

    Windows 10 S ist weniger sichern, als Microsoft denkt

    Anfang Juni hatte Microsoft vollmundig die Sicherheit von Windows 10 S gepriesen. Das fordert natürlich heraus: Tatsächlich ist es einem ersten Sicherheitsexperten gelungen, eine Lücke aufzudecken.

Anzeige