Diese Anleitung unten zeigt Ihnen, wie Sie DNSSEC in cPanel und bei Ihrem Domain-Registrar aktivieren, um Man-in-the-Middle-Angriffe, Cache-Poison-Angriffe und andere Arten von DNS-Fälschungen zu vermeiden.
Angesichts dessen, wie das Internet gegenwärtig jeden Aspekt unseres Lebens bestimmt, vergisst man oft leicht, dass das Domain Name System (DNS), das seinen zentralen Kern bildet, wird durch Kanäle und Bänder zusammengehalten.
Als DNS in den 1980er Jahren entworfen wurde, war das Internet viel kleiner und Sicherheit war nie eine Überlegung, da die Mitglieder des Netzwerks einander vertrauten.
Die Welt hat sich verändert.
Die Fortschritte in der Technologie haben es dem Internet ermöglicht, Teil unseres täglichen Lebens zu werden.
Dies hat Möglichkeiten für DNS-Exploits geschaffen, darunter DNS-Spoofing/Cache-Poisoning, DNS-Tunneling, DNS-Hijacking, NXDOMAIN-Angriffe, Angriffe auf Phantomdomänen, Botnet-basierte CPE-Angriffe und andere.
Stellen Sie sich eine Situation vor, in der ein rekursiver Resolver eine Anfrage an einen autoritativen Nameserver sendet.
So wie es jetzt ist, hat der Resolver keine Möglichkeit, die Authentizität der Antwort zu überprüfen.
Es kann nur überprüfen, ob die Antwort anscheinend von derselben IP-Adresse stammt, an die der Resolver die ursprüngliche Anfrage gesendet hat, aber eine gefälschte Antwort auf eine seiner Anfragen nicht leicht erkennen kann, falls eine vorhanden ist.
Ein Angreifer kann sich leicht als autoritativer Server ausgeben, die DNS-Suche kapern, um einen Benutzer auf eine betrügerische Website zu schicken, die Malware verbreitet, oder persönliche Informationen sammeln, ohne dass der Benutzer es merkt.
Die Ingenieure der Internet Engineering Task Force (IETF) (die Organisation, die für die DNS-Protokollstandards verantwortlich ist ) wussten von dieser Schwachstelle und haben nach einer Lösung gesucht.
Diese Bemühungen führten zu dem, was wir heute als DNSSEC-Sicherheitserweiterungen (DNSSEC ).
DNSSEC (abwärtskompatibel) ist eine Reihe von Erweiterungen, die dem DNS-Protokoll zusätzliche Sicherheit verleihen, indem sie eine hierarchische Richtlinie für digitale Signaturen über alle DNS-Ebenen hinweg implementieren.
Zu seinen Kernfunktionen gehört es, als wirksamer Schutz vor DNS-Spoofing-Angriffen zu dienen … bei richtiger Implementierung.
Die Datenursprungsauthentifizierung der DNS-Anforderungsvalidierung ermöglicht es einem Resolver, kryptografisch zu verifizieren, dass die empfangenen Daten tatsächlich aus der Zone stammen, von der er glaubt, dass die Daten stammen.
Und durch den Schutz der Datenintegrität weiß der Resolver, dass die Daten während der Übertragung nicht geändert wurden, seit sie ursprünglich vom Zonenbesitzer mit dem privaten Schlüssel der Zone signiert wurden.
In Übereinstimmung mit unserem Versprechen, dass unsere Kunden immer Zugang zu den besten und neuesten Funktionen erhalten, die cPanel bietet , freuen wir uns, Ihnen mitteilen zu können, dass Sie jetzt DNSSEC für Ihre Domain auf allen unseren cPanel-Produktionsservern aktivieren können.
Eine ausführliche Anleitung dazu haben wir unter https://dashboard.webhostingmagic.com/knowledgebase/23/DNSSEC
erstelltWenn Sie es aktivieren, fügt DNSSEC Ihrem DNS eine Authentifizierungsebene hinzu, wodurch Sie all die oben erwähnten Probleme vermeiden können.
Im Moment ist DNSSEC nicht automatisch.
Nachdem Sie den Schlüssel in cPanel erstellt haben, muss er von Ihnen, dem Eigentümer des Domainnamens, auf den autoritativen Servern Ihrer Zone ausdrücklich aktiviert werden.
Der Prozess unterscheidet sich von jedem Registrar, aber genauso wie Sie andere Änderungen an einer Zone vornehmen können (z. B. die autoritativen Nameserver einer Zone ), können Sie auch das öffentliche Schlüsselmaterial der Zone aktualisieren, um die Implementierung von DNSSEC abzuschließen.
Auf dieser Seite haben wir einige der gängigsten Domain-Registrare aufgelistet, die einige unserer Kunden verwendet haben, die ihr DNS außerhalb unserer Systeme hosten.
Wenn Ihre Domain nicht aufgeführt ist, wenden Sie sich bitte an das Support-Team Ihres Domain-Registrars.
GROSSE WARNUNG:IGNIEREN SIE DIESE WARNUNG NICHT
Die erste Frage, die Sie sich wirklich stellen müssen, lautet:Soll ich DNSSEC aktivieren ?
Der Grund, warum Sie diese Frage beantworten müssen, ist, dass die Aktivierung von DNSSEC die Art und Weise, wie Sie Ihre Domain und DNS-Einträge verknüpfen oder verwalten, grundlegend verändert.
Wenn Sie beispielsweise DNSSEC für Ihre Domain aktiviert haben, können Sie Ihre Nameserver nicht einfach so ändern.
Bevor Sie Nameserver ändern, müssen Sie DNSSEC deaktivieren und mindestens 72 Stunden warten, bevor Sie solche Änderungen vornehmen.
Andernfalls kann Ihre Domain nicht aufgelöst werden.
Ein weiteres Beispiel ist, wenn Sie einen Domainnamen zu einem anderen Registrar oder Webhosting-Dienstleister übertragen müssen.
Sie müssen zuerst die Einträge des Domänenservers (DS) entfernen und warten, bis die Änderungen wirksam werden, bevor Sie die Übertragung initialisieren.
Wenn Sie die alten DS-Einträge nicht aus dem Registrar entfernen, können die Domänen aufgrund ungültiger DNSSEC-Antworten Probleme mit der DNS-Auflösung verursachen.
Nun, das ist aus dem Weg, unten sind Links, die Sie möglicherweise benötigen, um die DNSSEC-Aktivierung bei Ihrem Domain-Registrar abzuschließen.
| Registrar | Anleitung |
| 123 Reg | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie beim Webhosting Magic cPanel generiert haben. |
| DNSimple | Verwenden von Webhosting Magic cPanel DNSSEC mit DNSimple |
| domaindiscount24 | DNSSEC |
| Dotster | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie beim Webhosting Magic cPanel generiert haben. |
| DreamHost | DNSSEC-Übersicht Verwenden Sie in DreamHost 2 als Digest-Typ anstelle von SHA256 . |
| dynadot | Wie richte ich DNSSEC ein? |
| Enom | Zum Zeitpunkt der Erstellung dieses Artikels unterstützen die Standard-Nameserver von Enon nicht die Erstellung der entsprechenden Ressourceneinträge, um eine ordnungsgemäße DNSSEC-Kette zu erstellen. Weitere Informationen finden Sie unter Hinzufügen eines DNSSEC zu einem Domainnamen |
| gandi | DNSSEC Stellen Sie in Gandi sicher, dass Sie Algorithmus 13 für das Dropdown-Menü Algorithmus auswählen. |
| GoDaddy | Führen Sie die folgenden Schritte aus, um einen DS-Eintrag mit GoDaddy zu konfigurieren:
Fügen Sie einen DS-Eintrag hinzu |
| Godzone | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie beim Webhosting Magic cPanel generiert haben. Im Godzone-Web-Steuerungsfeld können Sie möglicherweise einen DS-Eintrag unter den Domains hinzufügen Registerkarte. |
| Google-Domains | Wenn Sie Nameserver von Google Domains verwenden, können Sie DNSSEC mit einem Klick aktivieren. Befolgen Sie diese Anweisungen:
Wenn Sie DNSSEC aktivieren, dauert es ungefähr 2 Stunden, bis DNSSEC vollständig aktiviert ist. Wenn Sie es deaktivieren, dauert es bis zu zwei Tage, bis es deaktiviert wird. Wenn Sie benutzerdefinierte Nameserver haben, benötigen Sie möglicherweise einen DNS-Drittanbieter, um DNSSEC für Ihre Domäne zu konfigurieren. Außerdem müssen Sie DNSSEC auf Google Domains aktivieren. Befolgen Sie die nachstehenden Anweisungen:
Google Cloud-DNS und DNSSECWenn DNSSEC während der Erstellung der DNS-Zone aktiviert wurde, wählen Sie DNSSEC auf Ein und klicken Sie auf Speichern. Google Cloud DNS erstellt DNSSEC-Einträge für öffentliche Schlüssel (DNSKEY), Signaturen (RRSIG) und Nichtexistenz (NSEC oder NSEC3 und NSEC3PARAM), um die Inhalte Ihrer Zone zu authentifizieren und automatisch zu verwalten. Sobald diese Aktion durchgeführt wurde, ist es an der Zeit, sich mit dem Registrar-Teil zu befassen. Klicken Sie auf den Zonennamen und dann oben rechts auf Registrar Setup, um die DNSSEC-Ressourceneinträge anzuzeigen, die in Ihrer Domain aktualisiert werden müssen. Sie erhalten diese Werte, die Sie benötigen, um den Domainnamen bei Ihrem Registrar zu sichern.
|
| schweben | DNSSEC verstehen und verwalten |
| internet.bs | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie beim Webhosting Magic cPanel generiert haben. Möglicherweise können Sie einen DS-Eintrag hinzufügen:
|
| Joker.com | DNSSEC-Unterstützung Verwenden Sie in Joker.com 2 als Digest-Typ anstelle von SHA256 . |
| MarkMonitor | MarkMonitor unterstützt den Verifizierungsalgorithmus 13 und implementiert automatisch das Extensive Provisioning Protocol (EPP), um DS-Einträge für die folgenden TLDs an die Registrierungsstelle zu übergeben: .com, .biz, .net, .org, .us, .eu, .fr, .de, .co, .lu, .ch, .be, .li, .co.uk, .wf, .tf, .pm, .yt, .se, .af, .cx, .gs, .hn, .ki, .nf, .sb, .tl, .re Um einen DS-Eintrag hinzuzufügen, geben Sie die DS-Daten in die DNSSEC-Details ein Panel des MarkMonitor-Verwaltungsportals. |
| Spitzname | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie beim Webhosting Magic cPanel generiert haben. Möglicherweise können Sie einen DS-Eintrag hinzufügen:
|
| name.com | Verwaltung von DNSSEC |
| Namebillig | Um einen DS-Eintrag mit NameCheap zu konfigurieren, führen Sie die folgenden Schritte aus:
Verwalten von DNSSEC für Domains, die auf benutzerdefiniertes DNS verweisen |
| OpenSRS | Um einen DS-Eintrag mit OpenSRS zu konfigurieren, führen Sie die folgenden Schritte aus:
|
| NameISP | Wie aktiviere ich DNSSEC für meine Domain? Das Aktivieren von DNSSEC in nameISP erfordert nicht, dass Sie die DS-Eintragsdaten aus Ihrem Webhosting-Magic-cPanel-Konto kopieren und einfügen. |
| Namesilo | DS-Einträge (DNSSEC) |
| OVH | OVH unterstützt DNSSEC mit Algorithmus 13 über seine API. Siehe Dokumentation. OVH unterstützt auch das Hinzufügen des DS-Eintrags über seinen DNS-Manager. |
| Public Domain Registry | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie beim Webhosting Magic cPanel generiert haben. Dieser Registrar hat möglicherweise begrenzte TLDs. Siehe Hinzufügen von Delegation Signer (DS) Records. |
| register.com | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie mit Webhosting Magic cPanel generiert haben. |
| registro.br | DNS- und DNSSEC-Tutorials (auf Portugiesisch) |
| Tsohost | Wenden Sie sich an den Kundensupport Ihres Registrars und geben Sie die DS-Eintragsdaten an, die Sie mit Webhosting Magic cPanel generiert haben. |
Wenn DNSSEC erfolgreich auf Ihre Domain angewendet wurde, können Sie dies bestätigen, indem Sie die WHOIS-Informationen für Ihre Domain überprüfen.
Bei Domains mit DNSSEC wird „signedDelegation“ im DNSSEC-Feld angezeigt.
Sie können auch ein Online-Tool wie http://dnsviz.net/ oder https://dnssec-analyzer.verisignlabs.com/ verwenden, um Ihre DNSSEC zu validieren.