Zusammenfassung

  • Verknüpfungen zwischen EPP-Domain- und Hostobjekten können über die Grenzen eines einzelnen Kunden hinausreichen.
  • Eine Löschung ohne Abhängigkeitsprüfung kann dazu führen, dass einer Domain zu wenige autoritative Nameserver bleiben oder dass eine umfangreiche Menge von Änderungen erforderlich wird.
  • RFC 9874 behandelt Nameserver-Einträge, die der Kunde bewusst für diesen Zweck bereithält, eine ausdrückliche Aufhebung der Verknüpfungen mit anschließender Wiederherstellung und Benachrichtigung sowie sacrificial.invalid.

Der kritische Vorgang ist die Löschung eines Objekts, obwohl seine Verknüpfungen noch bestehen. RFC 5731 und RFC 5732 beschreiben die Zuordnungen von Domains und Hosts; RFC 9874 untersucht, welche Folgen sich aus ihrem Lebenszyklus und ihren Beziehungen ergeben. Erlaubt ein Server die Löschung trotz bestehender Verknüpfungen, kann er Hostobjekte von Domains trennen, die von anderen Kunden gesponsert werden. Das ist eine Änderung im Lebenszyklus eines EPP-Objekts, nicht das Ablaufen eines DNS-Caches, das Ende einer Domainregistrierung oder der Rückzug einer BGP-Route.

Welche Aktionen möglich sind, ergibt sich weiterhin aus der Beziehung zwischen EPP-Client und Registerserver sowie aus den jeweils geltenden Zuordnungen. RFC 9874 ändert weder die Eigentumsverhältnisse noch die Verwaltungsbefugnis des Registers. Aus den RFCs folgt außerdem nicht, dass jedes Register Löschungen bei offenen Verknüpfungen zulässt oder dieselbe Empfehlung umsetzt. Die Dokumente liefern für sich genommen keinen Nachweis über Verbreitung, Vorfallshäufigkeit, Registerleistung oder das Verhalten eines bestimmten Betreibers.

Das Umbenennen eines untergeordneten Hosts in einen externen Namen vor der Löschung kann zunächst wie ein praktischer Ausweg wirken. Ist dieser Ersatzname registrierbar oder wird er von einer anderen Partei kontrolliert, kann die Kontrolle über den Namen auf diese Partei übergehen. Abhängige Domains wären dann möglicherweise einem Ausfall der Namensauflösung oder einer Übernahme ausgesetzt. Entscheidend sind der Beziehungsgraph und die tatsächliche Kontrolle über den Ersatznamen; eine solche Folge ist nicht für jede Umgebung zwangsläufig.

RFC 9874 empfiehlt, vom Kunden bewusst vorgehaltene Nameserver-Einträge als Ausweichlösung zu prüfen, eine Löschung mit ausdrücklicher Aufhebung der Verknüpfungen sowie anschließender Wiederherstellung und Benachrichtigung vorzusehen oder den speziellen Namen sacrificial.invalid zu verwenden. Andere im Dokument untersuchte Verfahren werden wegen unerwünschter Nebenwirkungen nicht empfohlen. Das sind Empfehlungen des RFC und kein Beleg dafür, dass sie in allen Registern einheitlich umgesetzt werden.

Die EPP-Change-Poll-Erweiterung ist ein verfügbares Mittel, betroffene Kunden, die als Sponsoren auftreten, über registerseitige Änderungen an Verknüpfungen zu informieren. Eine Nachricht garantiert allerdings weder eine sofortige noch eine rechtzeitige Reaktion. Werden die Domain und ihre zugehörigen untergeordneten Hostverknüpfungen in pendingDelete gehalten, kann während der Redemption-Phase vor der endgültigen Bereinigung ein reversibles Zeitfenster für eine Wiederherstellung bestehen. Damit wird jedoch nicht jede Transaktion zwischen mehreren Kunden bei beliebiger Größe vollständig zurücksetzbar; große Verknüpfungsmengen können eine asynchrone Verarbeitung erfordern.

DNSSEC und mehrere autoritative Hostobjekte können einzelne Risiken verringern, ersetzen aber keine Löschung, die Abhängigkeiten berücksichtigt. RFC 9874 stellt sie nicht als Ersatz für eine solche Vorgehensweise dar. DNSSEC verhindert außerdem nicht jeden löschungsbedingten Ausfall und schützt auch nicht vor jeder damit verbundenen Übernahme.

Quellen