Abo
  • Services:
Anzeige
Eine Einbindung von PGP-Schlüsseln im DNS bei Mail.de.
Eine Einbindung von PGP-Schlüsseln im DNS bei Mail.de. (Bild: mail.de)

Zukunft von DNSSEC zweifelhaft

Anzeige

Grundsätzlich gibt es in der IT-Industrie viele Bedenken gegen DNSSEC. Zuletzt hatten einige namhafte Fachleute die Zukunft von DNSSEC infrage gestellt. Der Google-Entwickler Ryan Sleevi hatte kürzlich in einer langen Mail auf einer Chromium-Entwickler-Mailingliste erklärt, dass er DNSSEC für völlig unpraktikabel halte. Der Kryptographie-Experte Thomas Pacek hält DNSSEC ebenfalls für eine schlechte Idee und empfiehlt, komplett darauf zu verzichten und stattdessen Technologien wie Key Pinning weiter voranzutreiben. Yahoos Sicherheitschef Alex Stamos hatte im Rahmen einer Keynote auf der Konferenz AppSec California erklärt: "DNSSEC ist tot". Auf Twitter erläuterte Stamos, dass Yahoo die Nutzung von DNSSEC geprüft habe und zu dem Schluss gekommen sei, dass es zu einem möglichen Missbrauch von Yahoo für DDoS-Attacken führen könnte.

DdoS-Attacken mit Hilfe sogenannter Reflection- oder Amplification-Angriffe sind ein generelles Problem von DNS und anderen UDP-basierten Protokollen. Dabei sendet ein Angreifer eine UDP-Anfrage mit einer gefälschten Absenderadresse an einen Server, die Antwort landet beim Opfer. Diese Angriffe funktionieren besonders gut, wenn die Antwort auf eine Anfrage deutlich größer ist als die Anfrage selbst. Genau das ist bei DNSSEC häufig der Fall, denn es werden kryptographische Schlüssel und Signaturen über DNS verteilt. Der CDN-Anbieter Cloudflare, der zurzeit den Einsatz von DNSSEC testet, will aus diesem Grund ausschließlich Schlüssel auf Basis elliptischer Kurven mit dem ECDSA-Algorithmus nutzen. Bei ECDSA sind Schlüssel und Signaturen deutlich kleiner und das Amplification-Problem somit geringer.

Amplification-Angriffe durch PGP-Schlüssel im DNS

Das Problem der Amplification-Angriffe besteht aber nicht nur bei DNSSEC selbst, sondern auch bei den in DNS-Records abgelegten PGP-Schlüsseln. Der Openpgpkey-Standard erwähnt das Problem der Amplification-Angriffe und empfiehlt als Abhilfe, entsprechende Anfragen über UDP abzulehnen und Schlüssel nur über TCP auszuliefern. Das ist allerdings optional. Es ist also laut dem Standard durchaus zulässig, mehrere Kilobyte große UDP-Antworten zu verschicken, was ein erhebliches Risiko darstellt.

Beim DNS-Server von Mail.de werden zurzeit Anfragen nach PGP-Schlüsseln auch über UDP beantwortet. Das Paket hat dann eine Größe von über zwei Kilobyte. Fabian Bock von Mail.de sagte Golem.de, dass der Betreiber des DNS-Servers plane, dies in den nächsten Tagen zu ändern und entsprechende Anfragen nur noch über TCP zu beantworten.

Viele weitere Ideen

Es kursieren eine Reihe weiterer Ideen, wie die Schlüsselverteilung für PGP-Mails optimiert werden könnte. Google arbeitet an einem System, das ähnlich wie Certificate Transparency funktionieren soll und die Keys in einem ewigen Log - ähnlich der Bitcoin-Blockchain - ablegt. Der Web-Service Keybase versucht, die Vertrauensprüfung über Accounts bei anderen Webservices wie Twitter, Github oder Facebook herzustellen. Der Mailanbieter Whiteout versucht sich an einem neuen System, das weiterhin auf Keyservern basiert und vor allem auf ein Trust-on-First-Use-System setzt. Ob die Vielfalt neuer Ansätze, die alle miteinander inkompatibel sind, hilfreich ist, ist wohl eher zweifelhaft.

 OPENPGPKEY: Domain Name System speichert PGP-Schlüssel

eye home zur Startseite
barforbarfoo 12. Mär 2015

Wo ist das beschrieben? Wie validieren dann die Clients? Kohle für Zertifikate ist nicht...

ikhaya 12. Mär 2015

Genau das soll dieser Standard auch bewirken. Das kann der Mailclient selbst...

ikhaya 12. Mär 2015

"Verschlüsseln auf Teufel komm raus ohne Rücksicht auf Verluste" Wenn ein Bruce Schneier...

ikhaya 12. Mär 2015

"- der TXT-Record ist nur eine temporäre Lösung, der eigene RR-Type (61) ist auf Dauer...

PHPGangsta 12. Mär 2015

Korrekt, es ist TYPE61 (oder OPENPGPKEY). Der aktuelle IETF-Draft ist hier einzusehen...



Anzeige

Stellenmarkt
  1. Papierfabrik Louisenthal GmbH, Gmund am Tegernsee
  2. TUI InfoTec GmbH, Hannover
  3. Harting Electric GmbH & Co. KG, Espelkamp
  4. Bosch Energy and Building Solutions GmbH, Stuttgart-Weilimdorf


Anzeige
Hardware-Angebote
  1. jetzt bei Alternate
  2. 18,01€+ 3€ Versand
  3. 24,04€

Folgen Sie uns
       


  1. Fifa 18 im Test

    Kick mit mehr Taktik und mehr Story

  2. Trekstor

    Kompakte Convertibles kosten ab 350 Euro

  3. Apple

    4K-Filme in iTunes laufen nur auf neuem Apple TV

  4. Bundesgerichtshof

    Keine Urheberrechtsverletzung durch Google-Bildersuche

  5. FedEX

    TNT verliert durch NotPetya 300 Millionen US-Dollar

  6. Arbeit aufgenommen

    Deutsches Internet-Institut nach Weizenbaum benannt

  7. Archer CR700v

    Kabelrouter von TP-Link doch nicht komplett abgesagt

  8. QC35 II

    Bose bringt Kopfhörer mit eingebautem Google Assistant

  9. Nach "Judenhasser"-Eklat

    Facebook erlaubt wieder gezielte Werbung an Berufsgruppen

  10. Tuxedo

    Linux-Notebook läuft bis zu 20 Stunden



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Metroid Samus Returns im Kurztest: Rückkehr der gelenkigen Kopfgeldjägerin
Metroid Samus Returns im Kurztest
Rückkehr der gelenkigen Kopfgeldjägerin
  1. Doom, Wolfenstein, Minecraft Nintendo kriegt große Namen
  2. Nintendo Das NES Classic Mini kommt 2018 noch einmal auf den Markt
  3. Nintendo Mario verlegt keine Rohre mehr

Galaxy Note 8 im Test: Samsungs teure Dual-Kamera-Premiere
Galaxy Note 8 im Test
Samsungs teure Dual-Kamera-Premiere
  1. Galaxy S8 und Note 8 Bixby-Button lässt sich teilweise deaktivieren
  2. Videos Youtube bringt HDR auf Smartphones
  3. Galaxy Note 8 im Hands on Auch das Galaxy Note sieht jetzt doppelt - für 1.000 Euro

Zukunft des Autos: "Unsere Elektrofahrzeuge sollen typische Porsche sein"
Zukunft des Autos
"Unsere Elektrofahrzeuge sollen typische Porsche sein"
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

  1. Re: Bridge Mode verfuegbar? Gekauft.

    aPollO2k | 23:25

  2. Re: die hätten vor dem unfähigen LG Köln klagen...

    User_x | 23:21

  3. Re: Sinnfrage

    klosterhase | 23:17

  4. Re: Vergleich zum Aldi Convertible

    meav33 | 23:06

  5. Re: "dem sei ohnehin nicht mehr zu helfen"

    fg (Golem.de) | 23:00


  1. 18:13

  2. 17:49

  3. 17:39

  4. 17:16

  5. 17:11

  6. 16:49

  7. 16:17

  8. 16:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel