Zusammenfassung

  • Die laufende Konsultation prüft eine auf Juni datierte Sicherheits- und Stabilitätsbewertung der DS-Automatisierung. RFC 10026 wurde im Juli als BCP 246 veröffentlicht und steht bereits auf ICANNs Konsultationsseite.
  • Anschließend folgt ein eigenes öffentliches Verfahren zum Entwurf der Standardänderung für das Fast-Track-RSEP. Vor der „Schnellspur“ liegen noch zwei öffentliche Schranken.

Wer zweimal öffentlich kommentieren muss, fährt nicht gerade an allen vorbei. Vielleicht ist der Weg trotzdem der richtige; erst sollte klar sein, was er transportiert.

ICANN startete die aktuelle Konsultation am 12. Oktober. Die Frage lautet, ob eine 41-seitige Bewertung die Sicherheits- und Stabilitätsrisiken automatisierter DNSSEC-Delegation-Signer-Einträge (DS) richtig erfasst und ob die vorgeschlagenen Gegenmaßnahmen ausreichen, verhältnismäßig und umsetzbar sind. Frist ist der 23. November; der zusammenfassende Bericht soll am 7. Dezember vorliegen.

Das Verfahren ist DNS-Betreibern vertraut: Die Child-Zone veröffentlicht CDS- oder CDNSKEY-Einträge und signalisiert eine DS-Änderung. Die Parent-Seite — häufig Registry oder Registrar — prüft das Signal und aktualisiert den DS-Eintrag in der Parent-Zone. Routinewechsel von Schlüsseln brauchen damit weniger manuelle Tickets. Nimmt die Parent-Seite jedoch ein ungültiges Signal an, übersieht Unterschiede zwischen autoritativen Servern oder behandelt mehrere Signierer falsch, kann die Automatisierung die Vertrauenskette kappen.

Die Bewertung gewichtet ihre Befunde unterschiedlich. Sieben harte Anforderungen sind Voraussetzung für eine positive Sicherheits- und Stabilitätsbewertung. Sieben Offenlegungspunkte müssen dokumentiert werden; die konkrete Gestaltung bleibt dem Betreiber überlassen. Vier empfohlene Praktiken verbessern die Umsetzung, sind nach dem beschriebenen Standardumfeld aber keine Bedingung für ein positives Ergebnis. Als offene Punkte nennt der Bericht Multi-Signer-Fälle, fehlende Beobachtbarkeit und die Voraussetzung, dass Nameserver für den Start des Verfahrens in signierten Zonen liegen.

Der Dokumentenstand hat einen Knick. Die Bewertung trägt das Datum 23. Juni 2026. Sie beschreibt draft-ietf-dnsop-ds-automation noch als IETF-Entwurf in der IESG-Prüfung, der nach Veröffentlichung als BCP zur betrieblichen Referenz werden soll. Der RFC Editor führt RFC 10026, „Operational Recommendations for DNSSEC Delegation Signer (DS) Automation“, als im Juli veröffentlicht und BCP 246. ICANNs Konsultationsseite vom Oktober listet RFC 10026 bereits unter den Dokumenten, die den Mechanismus beschreiben. Die Seite ist aktuell; ein paar Zukunftsformen im PDF sind es nicht mehr.

Daraus ergibt sich eine konkrete Frage für Stellungnahmen: Wie verändert der endgültige RFC die im Entwurfsstadium geschriebenen Passagen, und welche Maßstäbe bleiben ICANNs eigene RSEP-Prüfung? RFC 10026 bündelt betriebliche Empfehlungen; die ICANN-Bewertung prüft Registry-Dienste nach den Kriterien des RSEP.

Der ICANN-Vorstand wies am 14. September 2025 die Einrichtung eines Fast-Track-RSEP für Registry-Betreiber an, unter der Bedingung, dass kein Sicherheits- oder Stabilitätsproblem festgestellt wird. ICANN will Kommentare auswerten, die Bewertung gegebenenfalls aktualisieren und einen Nachtrag veröffentlichen. Danach soll ein separates Verfahren den Entwurf der Standardänderung kommentieren lassen. Ein Termin dafür steht noch nicht fest.

Originalunterlagen