Summary

  • Der am 23. Oktober veröffentlichte individuelle Internet-Draft will Schlüssel und Widerrufsstatus digitaler Urheberprofile über DNS-Einträge prüfbar machen.
  • Ein Herausgeber kann im eigenen DNS zugelassene Aussteller von Kernprofilen benennen. Ist diese Liste mit DNSSEC gesichert, scheitert ein Profil eines anderen Ausstellers an der Prüfung.

Ein glänzender Dienstausweis überzeugt an der Pforte erst dann, wenn der Aussteller im Auftrag des Hauses handelte. Genau diese Rückfrage stellt Shigeya Suzukis Entwurf an die digitale Herkunft von Inhalten. Das Papier erschien am 23. Oktober mit experimenteller Zielsetzung. Im IETF-Verzeichnis steht es als aktiver individueller Internet-Draft, ohne formelle Billigung der IETF.

Die vorgeschlagene Originator Profile Framework verbindet Inhalte mit ihrem Absender. Ein Aussteller stellt einem Herausgeber ein Kernprofil mit öffentlichen Schlüsseln aus; der Herausgeber signiert seine Inhalte. Weitere Stellen können geprüfte Eigenschaften als Annotationen beifügen. Wer später eine Signatur sieht, muss auch prüfen, ob Schlüssel und Profil noch gelten. Dafür sieht der Entwurf OPKEY-Einträge unter _op vor. Sie enthalten Schlüsselabdrücke; das Kernprofil selbst bleibt außerhalb des DNS. Ein TXT-Eintrag dient dem Widerruf von Annotationen. Die Aussteller veröffentlichen die entsprechenden Statussignale.

Die eigentliche Machtfrage steckt im Domainnamen des Herausgebers. Ein optionaler SVCB-Eintrag bei _op.<originator> kann die Aussteller auflisten, die dieser Herausgeber akzeptiert. Wird der Eintrag durch DNSSEC bestätigt, prüft die Software, ob der Aussteller des vorgelegten Profils auf der Liste steht. Auch ein allgemein anerkannter Aussteller bekommt dadurch keinen Freifahrtschein für jedes Medium. Die Liste ist freiwillig. Fehlt sie und schreibt der konkrete Anwendungsfall sie nicht vor, bleibt der Herausgeber ohne festgelegten Aussteller. Der Entwurf gibt ihm ein Werkzeug, er füllt die Liste nicht an seiner Stelle aus.

Fehler sind hier keine höfliche Form des Schweigens. Ein OPKEY-Ergebnis darf nur verwendet werden, wenn die DNSSEC-Prüfung „Secure“ ergibt. Ein ungesichertes Ergebnis, ein ungültiger Beweis oder ein Resolverausfall lassen die Verifikation scheitern. Für die optionale Ausstellerliste kann ein sicher nachgewiesenes Fehlen „nicht festgelegt“ bedeuten; beschädigte Antworten oder Zeitüberschreitungen führen dagegen zum Abbruch. Wer beides verwechselt, lässt die Pforte bei Stromausfall offen.

Auch ein Widerruf muss erst durch die Speicher der Netze wandern. Als Betriebsannahme nennt der Text eine Stunde für Einträge und negative Cacheantworten. Alte Antworten können bis zum Ablauf ihrer Lebensdauer weiter gelten; zuvor signierte Antworten und das Ausliefern veralteter Daten können die Wirkung verlängern. In einem Labor mit 60-Sekunden-Werten wurden Änderungen binnen 63 Sekunden über einen validierenden Resolver sichtbar. Daraus ergibt sich keine garantierte Frist für reale Herausgeber.