Zusammenfassung

  • ICANN eröffnete am 12. Oktober eine öffentliche Kommentierungsrunde zur Sicherheits- und Stabilitätsbewertung der Interisle Consulting Group über automatisierte DNSSEC-DS-Einträge.
  • Interisle sieht nach den einschlägigen Definitionen nur dann kein erhebliches Problem, wenn sieben verbindliche Anforderungen erfüllt und sieben Betriebsaspekte dokumentiert werden.
  • Die Konsultation prüft die Beleglage; sie genehmigt keinen Einsatz. ICANN org muss selbst entscheiden, und Vertragsentwürfe für den Fast Track sollen erst in einem späteren Verfahren zur Stellungnahme stehen.

Die Bedingung wurde vor dieser Konsultation festgelegt. Im September 2025 nahm der ICANN-Vorstand Empfehlungen des SSAC an und beauftragte ICANN org, einen Fast Track nach der Registry Services Evaluation Policy (RSEP) für Registry-Betreiber einzurichten, sofern die Organisation kein Sicherheits- oder Stabilitätsproblem feststellt. Derselbe Beschluss hält fest, dass Registrare den Dienst auch ohne ICANN-Genehmigung einführen können. Ein Jahr später legte die Organisation eine externe Bewertung zur öffentlichen Prüfung vor, statt zu erklären, die Bedingung sei erfüllt.

Der auf den 23. Juni datierte Interisle-Bericht betrachtet einen klar begrenzten Ablauf. Der Betreiber einer untergeordneten Zone veröffentlicht signierte CDS- oder CDNSKEY-Einträge. Das Registry der übergeordneten Zone oder der betreuende Registrar kann sie abrufen und prüfen; den daraus entstehenden DS-Eintrag in der Elternzone veröffentlicht allein das Registry. Der Domaininhaber behält die letzte Entscheidungsgewalt über seine DNSSEC-Konfiguration, während Betreiber, Registrare und Registries verschiedene Schritte kontrollieren.

Ein DS-Eintrag verbindet den Schlüssel der untergeordneten Zone mit der Vertrauenskette der Elternzone. Automatisierung kann manuelle Verzögerungen verringern, macht aber aus einem Signal einer Organisation eine veröffentlichte Änderung in der Zone einer anderen. Interisle prüft die laufende Pflege von DS-Einträgen, die Ersteinrichtung und den Wechsel zu einer unsicheren Delegierung. Push-APIs, externe Schnittstellen und CSYNC sind nicht Gegenstand des Berichts.

Die 18 Feststellungen haben unterschiedliches Gewicht. Sieben Anforderungen sind verbindlich: DS-Prüfung auf der Seite der Elternzone; Konsistenz zwischen autoritativen Nameservern; eine Ausstiegsmöglichkeit für den Registrar; keine Unterbrechung der regulären Pflege allein wegen einer clientUpdateProhibited-Sperre; ein erhaltener manueller DS-Verwaltungsweg; korrekte Behandlung eines authentisierten Signals mit Algorithmus null beim Beenden von DNSSEC; sowie eine Benachrichtigung des Registrars, wenn Registry-gesteuerte Automatisierung EPP nutzt. Sieben Offenlegungspunkte sollen betreiberspezifische Entscheidungen festhalten, darunter Abfrageabstände, Verzögerung, TTL und Rücknahmefenster, zusätzliche Prüfungen, Mehrsignierer-Konfigurationen und Meldewege. Vier Empfehlungen gehen über den Mindeststandard hinaus, etwa Drift-Erkennung und dauerhaft kürzere DS-TTLs.

Interisles Ergebnis ist deshalb an Bedingungen geknüpft und keine pauschale Zertifizierung jeder Implementierung. Bei erfüllten Anforderungen und dokumentierten Offenlegungen sieht der Bericht nach RSEP-Definitionen kein erhebliches Sicherheits- oder Stabilitätsproblem. Weiter zu beobachten seien jedoch Mehrsignierer-Umgebungen, die Nachvollziehbarkeit und die Voraussetzung signierter Nameserver für einen Bootstrap-Weg.

ICANN fragt, ob die Bewertung alle relevanten Risiken erkannt hat und ob die Gegenmaßnahmen ausreichen, verhältnismäßig und umsetzbar sind. Stellungnahmen sind bis zum 23. November 2026 möglich; der Zusammenfassungsbericht ist für den 7. Dezember vorgesehen. ICANN will Kommentare prüfen, die Bewertung gegebenenfalls ändern, einen erklärenden Nachtrag veröffentlichen und Standardvertragsklauseln für den Fast Track später separat zur Kommentierung stellen. Die bedingte Vorgabe des Vorstands, die Einschätzung des Gutachters, die Entscheidung von ICANN org, der Vertragstext und der Einsatz durch einen Betreiber bleiben getrennte Schritte.

Quellen