Thema
DNS-Delegationsmacht
Innerhalb der Facette Thema verbindet die Themenanalyse DNS-Delegationsmacht Artikel, die ein gemeinsames Thema, einen Signalfokus oder ein Monitoring-Thema teilen. Die Seite bietet den Lesern einen umfassenderen Zugang zu verwandter Berichterstattung, Quellenbelegen, Marktakteuren und Infrastrukturfolgen – mit ausreichend Kontext, um zu verstehen, warum das Thema für Unternehmensaktivitäten, Governance-Entscheidungen, regionale Risikoexposition und operationelle Risiken relevant ist. Leser können wiederkehrende Signale, betroffene Organisationen, öffentliche Belege, Marktkontext, Servicekontinuität, Beschaffung, Wettbewerb, Compliance und strategische Planungsfragen hinter dem Thema vergleichen, statt bei einer dünnen Liste passender Artikel stehenzubleiben. Es erklärt, was das Thema abdeckt, welche Infrastrukturakteure oder -politiken beteiligt sind, welche Belege die Berichterstattung stützen und warum das Thema für Betreiber, Kunden, Investoren und politisch interessierte Leser von Bedeutung sein kann.
ICANN
Allison Mankin und die Namenskollisions-Stichprobe, die ihre Ursache nicht bewies
Eine Root-Messung kann Name, Query-Typ und Zeitpunkt exakt festhalten. Sie kennt deshalb noch nicht die Anwendung, den verantwortlichen Betreiber oder den Schaden einer späteren Delegation. Der von Allison Mankin mitverfasste RFC 8023 macht aus dieser Lücke eine überprüfbare…
Fallakte
Der Schlüssel war bekannt, aber noch nicht vertrauenswürdig
Ein selbst signiertes DNS-Update bringt dem Elternbereich einen neuen Schlüssel und zugleich den Auftrag, den alten zu löschen. Die Signatur belegt Besitz des neuen privaten Schlüssels. Sie belegt nicht das Recht, die Delegation des Kindes zu ändern. Am angekündigten Ende des…
Fallakte
Der letzte Punkt verschwand – und die Vertrauensgrenze wanderte
Für das DNS können `example.co.uk` und `example.co.uk.` zum selben Knoten führen. In einer Anwendung können beide Schreibweisen dennoch unterschiedliche Sicherheitsentscheidungen auslösen. Zum Ende des DNSOP Working Group Last Call am 7. September macht eine aktuelle…
Fallakte
Das lokale Netz fand ein MOQT-Relay. Seine Anzeige belegte keine Befugnis
Der neue MOQT-Discovery-Entwurf trennt nun sauber zwischen dem Rechner, zu dem DNS eine Verbindung lenkt, und dem Namen, den TLS authentifizieren muss. Bei mDNS fehlt noch die vorgelagerte Antwort: Wer darf dieses Relay überhaupt als Dienst anbieten?
Trends bei Cloud-Diensten in Europa und dem Nahen Osten
Genesis Cloud: Routing, Peering und DNS als getrennte Kontrollebenen
Eine evidenzbasierte Einordnung zeigt, warum deklarierte Netzwerkbeziehungen nicht automatisch globale Erreichbarkeit beweisen.
Geschichte
Der Name schien vollständig. Der Resolver schrieb ihn trotzdem um: RFC 1535
Nicht die Liste allein bestimmte, was ein Name bedeutete. Entscheidend waren Reihenfolge und Abbruchbedingung. Ein Resolver konnte aus einer sichtbaren Eingabe vier Kandidaten machen; antwortete der dritte, wurde der vierte nie gefragt. RFC 1535 machte damit eine verborgene…
Führungskräfte
Warren Kumari und das Design eines überlebbaren DNS-Ausfalls
DNS-Resilienz bedeutet nicht, dass nichts ausfällt. Sie bedeutet, Ausfälle so zu begrenzen, dass ein Dienst möglichst lange nützlich bleibt, ohne die Ursache zu verschleiern oder abgelaufene Autorität unbegrenzt fortzuschreiben. Warren Kumari hat an mehreren IETF-Standards…
Globale Trends bei regionalen ISPs
Ein veröffentlichter TLSA-Eintrag garantiert keine Zertifikatsannahme
Ein TLSA-Eintrag kann im DNS vorhanden sein und für einen Client dennoch unbrauchbar sein, nicht passen oder eine Ablehnung der Verbindung verlangen. DANE-Sicherheit entsteht erst, wenn DNSSEC-Zustand, Parameter, ausgelieferte Zertifikatskette, Client-Richtlinie und Zeit…
Globale Trends bei regionalen ISPs
Ein NSEC3-Opt-Out-Nachweis sichert die Delegation nicht
Eine DNSSEC-Antwort kann korrekt signiert sein und die Delegation einer Child-Zone dennoch ungeschützt lassen. Bei NSEC3 Opt-Out bezieht sich der Nachweis auf ein klar begrenztes Hash-Intervall; er stellt nicht für jede darin mögliche Delegation eine Vertrauenskette her.
Globale Cloud-Dienste-Trends
Verschlüsseltes DNS verschiebt die Richtliniengrenze
Verschlüsselung schützt DNS-Anfragen auf dem Transportweg. Zugleich verändert sie, wer den Resolver auswählt, wo lokale Regeln greifen und wer einen Fehler erklären muss. Diese verschobene Grenze braucht ein Betriebsmodell.
Globale Cloud-Dienste-Trends
Die vier Uhren eines DNSSEC-Schlüsselwechsels
Ein DNSSEC-Schlüsselwechsel ist erst abgeschlossen, wenn die Verteilung auf den autoritativen Servern, Resolver-Caches, übergeordnete Delegation und konfigurierte Vertrauensanker kompatible Zustände erreicht haben.
IETF
RDAP strich zwei DELEG-Felder. Das referenzierte Schreibmodell führt sie weiter
Ein öffentliches Registerergebnis ist nur das Ende eines Datenwegs. Bei Domainnamen kann dieser Weg mit einem EPP-Befehl beginnen, in autoritativen DNS-Zustand übergehen und als RDAP-JSON enden. Die am 4. September veröffentlichte RDAP-DELEG-Fassung 05 hat das Lesemodell an…
Fallakte
Die Parodie begann erst hinter der Adresszeile: PETA v Doughney
Ein Domainstreit kann die Erreichbarkeit verändern, bevor ein Gericht die Rechtslage abschließend beurteilt. Genau das macht *PETA v Doughney* zu mehr als einem Schlagabtausch zwischen einer Organisation und ihrem Kritiker. Network Solutions versetzte `peta.org` nach der…
Berichte
LACNICs WHOIS-Feld nslastaa zeigt den letzten erfolgreichen Check, nicht das heutige DNS-Verhalten
Ein Datum in einer Registry-Antwort wirkt leicht wie eine noch gültige Zusicherung. LACNIC meint mit `nslastaa` jedoch etwas enger Begrenztes: das letzte Datum, an dem auf dem aufgeführten Server eine korrekte Reverse-DNS-Konfiguration beobachtet wurde. Das ist wertvolle…
Globale Cloud-Dienste-Trends
Ein DNS-Cookie authentifiziert keinen Client
Ein DNS-Cookie hilft dem Server, eine Anfrage mit zuvor ausgegebenem Protokollzustand von einem Paket zu unterscheiden, das lediglich eine Quelladresse behauptet. Das erschwert mehrere Off-Path-Angriffe. Es identifiziert weder Person, Anschlussinhaber noch Gerät hinter einem…
Berichte
APNIC zählte 9,7 Milliarden DNS-Abfragen. Die Wiederholungsschicht bleibt unbekannt
APNIC Labs änderte nur die Antwort und beobachtete, wie sich der Verkehr mit ihr änderte. Schweigen brachte 9.685.775.212 Abfragen an einen autoritativen Server; eine positive Antwort erzeugte je Test sehr viel weniger. Das Verhältnis ist eindrucksvoll und nachrechenbar. Welches…
Berichte
Beim Root-KSK-Wechsel wird die Resolver-Bereitschaft zum Kontinuitätstest
Das DNS kann gesund sein, während Nutzer hinter einem veralteten validierenden Resolver Ausfälle sehen. Das ist das operative Paradox eines Root-KSK-Wechsels: Der Schlüssel ändert sich zentral, die Kontinuität entscheidet sich jedoch in verteilten Resolver-Beständen.
Fallakte
Zwei Buchstaben waren nicht der ganze Fall: Virtual Works gegen Volkswagen und der Anruf zu `vw.net`
Ein tatsächlich genutzter Domainname wurde zum Streitobjekt, als ein Anruf Käufer, Frist und Wertquelle zusammenführte. Nach der Darstellung des Berufungsgerichts sollte Volkswagen binnen 24 Stunden reagieren, sonst werde `vw.net` an den Höchstbietenden verkauft. Nicht die zwei…
Berichte
LACNICs Reverse-DNS-Anycast macht Registerkontinuität zu verteilter Kontrolle
Reverse DNS bleibt meist unsichtbar, bis es nicht mehr antwortet. LACNICs Anycast-Architektur zeigt: Kontinuität entsteht nicht durch einen einzelnen Server, sondern durch Standortwahl, Routing, Synchronisierung und Beobachtung.
IETF
Ein erweiterter DNS-Fehler erklärt das Scheitern, erlaubt aber keine andere Antwort
Ein DNS-Fehler kann protokollgerecht und dennoch betrieblich kaum brauchbar sein. RFC 8914 erlaubt dem Antwortenden eine genauere Erklärung, ohne das Ergebnis zu verändern. Diese Trennung schafft Beobachtbarkeit, verlangt aber, Diagnosekontext nie automatisch in die Erlaubnis zum…