NSEC

NSEC

Mit NSEC Resource Records werden bei DNSSEC signierten Zone alle Labels (Namen) in alphabetischer (kanonischer) Reihenfolge verkettet. Der Typ NSEC löste 2004 den nahezu identischen Typ NXT ab.

Inhaltsverzeichnis

Hintergrund

Mit dem Signieren von DNS-Einträgen kann verifiziert werden, dass diese Einträge nicht verfälscht wurden und von den korrekten autoritativen Zonen stammen. Was nicht möglich ist, ist das Nicht-Vorhandensein von DNS-Einträgen zu beweisen. Fragt etwa ein Client den Namen test.beispiel.de an, so kann ein Angreifer die entsprechenden Daten aus dem Antwortpakets des Servers entfernen, ohne dass das dem Client ersichtlich wird.

Um derartige Denial of Service Attacken zu verhindern, werden alle Namen einer Zone über NSEC Records alphabetisch geordnet ringförmig verkettet, wobei der letzte Eintrag auf den ersten zeigt. Beispiel:

  name1  NSEC  name2
  name2  NSEC  name5
  name5  NSEC  name1

Jeder NSEC Record wird per RRSIG Resource Record unterschrieben, so dass er nicht verfälscht werden kann. In seinen Antwortpaketen liefert ein DNS-Server jeweils den zugehörigen NSEC-Eintrag mit. Bei einer Anfrage zum nicht existierenden Namen name3 wird "name2 NSEC name5" mitgeliefert. Der Client kann damit sicher sein, dass der name3 tatsächlich nicht existiert und nicht etwa auf dem Transportweg entfernt wurde.

Der NSEC-Record besitzt noch eine zweite Funktion: Er listet alle Typen gleichen Namens auf (siehe Beispiel).

Aufbau

Ein NSEC-RR besteht aus den folgenden Feldern:

Label 
Name des Besitzers des Schlüssels
Typ 
NSEC (47)
Next Domain Name
der alphabetisch folgende Name
Liste der Typen

Beispiel

 name2   NSEC               ; Typ    
         name5              ; alphabetischer Nachfolger
         NS DS RRSIG NSEC   ; Liste der Typen des Labels name2

Sicherheit des Verfahrens

Ein wichtiger Nachteil dieses Verfahrens ist, dass ein Angreifer die NSEC-Kette sukzessive durchlaufen und so alle Einträge einer Zone ermitteln kann. Dieser Vorgang wird als Zone Walking (auch DNSSEC Walking) bezeichnet. Ein vergleichbares Lesen einer kompletten Zone ist bei herkömmlichen DNS und abgesicherten Zonentransfer nicht möglich.

Maßnahmen zur Verhinderung des Zone Walkings sind in Diskussion (z. B. RFC 4470). Ein Vorschlag ist, durch einen neuen Resource Record nsec3 ein vergleichbares Verfahren zu realisieren, bei den die beteiligten Namen nicht mehr in Klartext, sondern verschlüsselt dargestellt werden (siehe ietf draft dnsext-nsec3-05).

Weblinks

  • RFC 4034 - Resource Records for the DNS Security Extension

Wikimedia Foundation.

Игры ⚽ Нужно решить контрольную?

Schlagen Sie auch in anderen Wörterbüchern nach:

  • nsec — abbr. nanosecond. * * * …   Universalium

  • NSEC — may refer to: National Standard Examination in Chemistry Netaji Subhash Engineering College North Shore Events Centre Next SECure record of the Domain Name System This disambiguation page lists articles associated with the same title. If an …   Wikipedia

  • nsec — nanosecond * * * nsec abbr nanosecond * * * nanosecond …   Medical dictionary

  • nsec — abbreviation nanosecond herein * * * nsec (no period), nanosecond. * * * abbr. nanosecond …   Useful english dictionary

  • NSEC-Record — Mit NSEC Resource Records werden bei DNSSEC signierten Zone alle Labels (Namen) in alphabetischer (kanonischer) Reihenfolge verkettet. Der Typ NSEC löste 2004 den nahezu identischen Typ NXT ab. Inhaltsverzeichnis 1 Hintergrund 2 Aufbau 3 Beispiel …   Deutsch Wikipedia

  • NSEC Resource Record — Mit NSEC Resource Records werden bei DNSSEC signierten Zonen alle Labels (Namen) in alphabetischer (kanonischer) Reihenfolge verkettet. Der Typ NSEC löste 2004 den nahezu identischen Typ NXT ab. Inhaltsverzeichnis 1 Hintergrund 2 Aufbau 3… …   Deutsch Wikipedia

  • nsec — abbreviation see ns …   New Collegiate Dictionary

  • NSEC — Nanoscale Science And Engineering Center (Academic & Science » Universities) Nanoscale Science And Engineering Center (Academic & Science » Electronics) * National Security Group (Business » NASDAQ Symbols) * National Supported Employment… …   Abbreviations dictionary

  • NSEC — • Network Switching Engineering Center • Naval Sups Engineering Center ( > IEEE Standard Dictionary ) …   Acronyms

  • NSEC — [1] Network Switching Engineering Center [2] Naval Sups Engineering Center ( > IEEE Standard Dictionary ) …   Acronyms von A bis Z

Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”