DNS
Ein Gutachten hält die automatische Pflege von DS-Einträgen bei gTLDs für sicher
ICANN hat ein Gutachten zur automatischen Pflege von DNSSEC-Einträgen bei gTLDs zur Diskussion gestellt. Es hält das Verfahren CDS/CDNSKEY für sicher, wenn Registries sieben Anforderungen erfüllen und sieben weitere Punkte dokumentieren. Registrare sollen die Automatik abschalten können. Darauf soll ein vereinfachtes Genehmigungsverfahren aufbauen. Kommentare sind bis zum 23. November möglich.
In der übergeordneten Zone steht ein DS-Eintrag, der aus einem Domain-Schlüssel abgeleitet ist. Wechselt der DNS-Betreiber den Schlüssel, muss bisher meist der Registrar den Eintrag bei der Registry ändern. Mit CDS und CDNSKEY veröffentlicht der DNS-Betreiber die neuen Werte selbst in seiner Zone. Die Registry fragt sie regelmäßig ab und übernimmt sie. RFC 10026 hat diese Automatik im Sommer zur empfohlenen Praxis erklärt.
Grundlage ist eine Empfehlung des SSAC
Das SSAC hatte im August 2024 in seinem Bericht SAC126 das Verfahren empfohlen. Der ICANN-Vorstand übernahm die Empfehlung im September 2025. Er beauftragte ICANN, hierfür ein beschleunigtes Verfahren gemäß der Registry Services Evaluation Policy einzurichten. Gemäß dieser Richtlinie genehmigt ICANN neue Dienste von gTLD-Registries. Voraussetzung war, dass keine Probleme mit Sicherheit und Stabilität festgestellt werden.
Das Gutachten stammt von der Interisle Consulting Group und ist auf den 23. Juni datiert. Geprüft wurden die laufende Pflege, die erstmalige Einrichtung gemäß RFC 9615 sowie das Abschalten von DNSSEC.
Registrare sollen widersprechen können
Interisle sieht keine wesentlichen Risiken, nennt dafür jedoch sieben harte Anforderungen. Vor jeder Änderung muss die Registry prüfen, ob die neuen DS-Einträge zu den Schlüsseln der Zone passen. Sie muss die Werte bei allen Nameservern der Domain abfragen. Weichen die Antworten voneinander ab, muss sie abbrechen. Registrare müssen die Automatik für alle ihre Domains abschalten können. Die manuelle Pflege beim Registrar muss erhalten bleiben. Nutzt die Registry EPP für die Kommunikation mit dem Registrar, muss sie ihm automatische Änderungen melden. Dafür dient die Change Poll Extension gemäß RFC 8590 oder ein gleichwertiger Mechanismus.
Die Sperre clientUpdateProhibited allein soll die Automatik nicht stoppen. Der Registrar könne diese Sperre ohne weitere Prüfung selbst aufheben, heißt es zur Begründung. Hinzu kommen sieben Pflichten zur Dokumentation. Die Registry muss etwa angeben, wie oft sie die Zonen abfragt.