Serviceoption DNSSEC as a Service (DNSSECaaS)

Mit Hilfe von DNSSEC lassen sich die Antworten des Nameservers digital signieren und damit kann die Authentizität der versandten DNS-Antworten sichergestellt werden. DNSSEC ist auch die Grundlage für die Nutzung weiterer Sicherheitsmechanismen. So kann zur Verschlüsselung der Mailkommunikation zwischen Mailservern “Domain Name based Authentication of Named Entities”, kurz DANE in Verbindung mit DNSSEC genutzt werden oder es lässt sich mit Hilfe von SSHFP (Secure Shell Fingerprint) die Authentizität von SSH-Host-Keys über DNSSEC gewährleisten.

Die über DNSaaS verwaltete DNS-Zone wird während der Übertragung mit DNSSEC signiert (Signing Proxy).

• Ansprechpartner: Servicedesk (für Störungsmeldungen und Service Requests) 
  https://servicedesk.lrz.de oder Tel.: 089/35831-8800 
• Wartungszeiten: keine 
• Einrichtungszeiten: 2 Tage zzgl. Verzögerungen bei der Domainregistry und Caching 

DNSSEC-Delegationen werden durch die verantwortliche Toplevel-Registry im Allgemeinen nicht in Echtzeit, sondern zeitverzögert veröffentlicht. Diese Einträge unterliegen außerdem dem Caching durch Resolver. Es kann daher bei Aktivierung und Deaktivierung von DNSSEC zu zusätzlichen Wartezeiten kommen.

Zonen, die über DNSSECaaS verwaltet werden, müssen über das LRZ registriert sein (s. Dienst “Registrierung von Domain Namen”. Die Verwaltung der kryptographischen Schlüssel für DNSSEC verbleibt in der Hand des LRZ.

Diese Serviceoption wird allen Nutzern des Dienstes DNSaaS angeboten.