Zusammenfassung

  • Als Cryptographic Officer verwahrte Anne-Marie Eklund Löwinder einen Schließfachschlüssel für geschützte Zugangsmittel; er war nicht der Root Key Signing Key und konnte allein keine Signatur erzeugen.
  • Die Zeremonie macht begrenzte Handlungsfähigkeit zum Kontrollprinzip: getrennte Betriebs- und Wiederherstellungsrollen, mehrere Personen, vorab veröffentlichte Abläufe, Nachweise und geregelte Nachfolge verhindern Einzelmacht.

Der Mythos passt in eine Hosentasche. Einige wenige Menschen, so heißt es, hätten je einen „Schlüssel zum Internet“. Die Wirklichkeit, die Anne-Marie Eklund Löwinders Amtszeit dokumentiert, ist weniger spektakulär und sicherheitspolitisch interessanter. Ihr Metallschlüssel öffnete ein Schließfach. Darin lagen geschützte Zugangsmittel für einen Teil einer Root-Key-Zeremonie. Ohne weitere Personen, Anlagen, Hardware und ein festgelegtes Verfahren konnte er nichts signieren.

IANA führt Eklund Löwinder von 2010 bis 2022 als Cryptographic Officer 2-East. Zwölf Jahre schaffen Kontinuität, bergen aber auch eine erzählerische Gefahr: Eine Person erscheint irgendwann als Verkörperung der Kontrolle. Das Zeremoniendesign verfolgt das Gegenteil. Es braucht glaubwürdige Menschen, ohne Glaubwürdigkeit mit vollständiger Verfügungsmacht zu verwechseln.

Fachliche Autorität ohne Alleinbefugnis

Eklund Löwinder brachte eigene technische Autorität mit. Das Internet Hall of Fame schreibt ihrer Arbeit einen Anteil daran zu, dass .SE 2005 als erste Top-Level-Domain mit DNSSEC signiert wurde. DNSSEC ergänzt das Namenssystem um kryptografisch prüfbare Herkunft. Der öffentliche Teil des Root-KSK bildet dabei den obersten Vertrauensanker, an den validierende Resolver ihre Prüfkette anbinden.

Diese Vorgeschichte erklärt, warum eine unabhängige Vertreterin wertvoll war. Sie rechtfertigt keine Sondervollmacht. IANA schließt direkte Angehörige von PTI, ICANN und Verisign als Trusted Community Representatives aus und nennt Integrität, Objektivität sowie geografische und gemeinschaftliche Vielfalt als Kriterien. Die Gemeinschaft soll im sensiblen Ablauf vertreten sein; sie soll ihn nicht durch eine Einzelperson beherrschen.

Ein Cryptographic Officer verwahrt den Schließfachschlüssel zwischen den Terminen, bringt ihn zur Zeremonie, wirkt beim Zugang zu den geschützten Mitteln mit und beobachtet den dokumentierten Ablauf. Danach bestätigt er, was geschehen ist. Verlust oder ein Verdacht auf Kompromittierung sind zu melden. Beim Ausscheiden sieht eine letzte Zeremonie die Übergabe an die Nachfolge vor. Verwahrung, Zeugenschaft und Kontinuität liegen zusammen; die vollständige Ausführungskette bleibt geteilt.

Wiederherstellung ist kein zweiter Normalbetrieb

Cryptographic Officers und Recovery Key Share Holders unter einer einzigen Bezeichnung als „Schlüsselträger“ zusammenzufassen, verwischt zwei verschiedene Fehlerbilder.

Der CO nimmt am regulären Verfahren teil. Der RKSH ist für einen Katastrophenfall vorgesehen, in dem die normalen Standorte und das gewöhnliche Schlüsselmaterial nicht mehr nutzbar sind. Seine Chipkarte enthält laut IANA keinen vollständigen kryptografischen Schlüssel, sondern nur ein kleines Fragment. Erst eine ausreichende Zahl von Anteilen und der kontrollierte Wiederherstellungsprozess können das benötigte Material rekonstruieren.

RKSHs erscheinen daher üblicherweise nicht bei den vierteljährlichen Zeremonien. Sie bestätigen regelmäßig die Verwahrung ihrer Karte und nehmen an Funktionstests teil. Gehen mehr als ein Anteil verloren, muss die erneute Aufteilung eines Wiederherstellungsschlüssels geplant werden. Das reguläre Verfahren verhindert den alleinigen physischen Zugriff eines Betreibers; der Notfallpfad verhindert ein vollständiges Rettungsgeheimnis bei einem Freiwilligen. Resilienz verlangt zwei menschlich getrennte Wege.

Ein Ablauf, der Belege erzeugen soll

IANA veröffentlicht das Zeremonienskript im Voraus, gestattet öffentliche Beobachtung und streamt die Veranstaltung. Muss vom Skript abgewichen werden, soll die Ausnahme beraten, vereinbart, ausgeführt und in den Auditunterlagen dokumentiert werden. Mindestbesetzung, Ersatzpersonen und Notfallregeln legen fest, welche Schritte bei Abwesenheit möglich bleiben.

Damit produziert die Zeremonie nicht bloß feierliche Bilder, sondern prüfbare Behauptungen. Das Skript beschreibt den Soll-Ablauf, der Stream zeigt einen sichtbaren Ausschnitt, Protokolle und Bestätigungen halten Aussagen für die spätere Kontrolle fest. Eine Kamera erkennt nicht jeden internen Zustand eines Sicherheitsmoduls; ein Dokument beweist nicht seine eigene Befolgung. Zusammen erschweren die Spuren jedoch eine nicht erklärte Abweichung und geben Außenstehenden konkrete Ansatzpunkte für Widerspruch.

Das DNSSEC Practice Statement von 2025 beschreibt die heutige Funktionstrennung bei Erzeugung, Nutzung und Vernichtung von Schlüsseln, Mehrpersonen-Zugang für KSK-Vorgänge und eine Auditrolle, die nicht selbst an der zu prüfenden Mehrpersonenkontrolle teilnimmt. Es ist kein Beleg dafür, dass jede Regel zwischen 2010 und 2022 wortgleich galt. Es belegt die aktuelle Ausformung eines dauerhaften Maßstabs: Zugang, Ausführung, Zeugenschaft und Prüfung dürfen nicht in einer Stelle zusammenfallen.

Der KSK ist kein Redaktionsrecht an der Root

Im Normalbetrieb authentisiert der Root-KSK die Zone Signing Keys, die die operative Root-Zone signieren. Sein öffentlicher Anteil wird als DNSSEC-Vertrauensanker verteilt. Eine typische Zeremonie bereitet Signaturen für den nächsten Betriebszeitraum vor; andere Termine können Vertreter einführen, sichere Hardware verändern oder einen Schritt im Lebenszyklus des KSK behandeln.

Der Schließfachschlüssel ist nicht der private KSK. Der private KSK verleiht seinem menschlichen Nachbarn kein Recht, Inhalte der Root-Zone festzulegen. Und die signierte Root-Zone ist eine Ebene in einem verteilten Namenssystem mit mehreren Institutionen. Der Mythos wird mit jeder ausgelassenen Unterscheidung eingängiger; das tatsächliche Sicherheitsmodell wird dabei unsichtbar.

Eklund Löwinders Beitrag wird durch diese Begrenzung nicht kleiner. Eine DNSSEC-Pionierin stellte Unabhängigkeit, Erfahrung und öffentliche Zeugenschaft für eine Rolle bereit, die ihr gerade keine Einzelmacht gab. Ihre Verlässlichkeit war wichtig, weil sie das geteilte Verfahren ergänzte und nicht ersetzte. Bei globaler Infrastruktur kann nachweisbare Selbstbegrenzung wertvoller sein als ein zusätzliches Privileg.

Quellen