Zusammenfassung

  • Ein DET ist ein 128-Bit-Wert, der als IPv6-Adresse strukturiert ist und primär als Bezeichner, nicht als Locator, verwendet wird. RFC 9886 bildet seine Hierarchie im Reverse-DNS unter 2001:30::/28 ab; der zugehörige Baum beginnt bei 3.0.0.1.0.0.2.ip6.arpa.
  • Die 28 Bits des Hierarchieanteils gliedern sich in Registered Assigning Authority (RAA) und HHIT Domain Authority (HDA). DNS-Delegationen bilden diese Registerebenen ab.
  • Jeder DET-Name muss einen HHIT-Eintrag des RRType 67 liefern. Im UAS-Remote-ID-Fall muss zusätzlich ein UAS-BRID-Eintrag des RRType 68 vorhanden sein; er enthält statische Broadcast-RID-Informationen einschließlich einschlägiger Bestätigungen.
  • Öffentliche DRIP-Daten und Verweise werden über autoritatives DNS bereitgestellt. Private Register bleiben davon getrennt; RFC 9886 legt die AAA-Mechanismen zum Schutz personenbezogener Daten nicht fest.
  • DNSSEC ist für Apex-Entitäten verpflichtend und für andere Entitäten empfohlen. Fehlt DNSSEC bei einer Nicht-Apex-Entität, ist das nicht eigenständig ausschließend; der Client muss stattdessen die Zertifikatshierarchie über aufeinanderfolgende HHIT-Abfragen durchlaufen, um die Registrierung nachzuweisen. Eine Apex-Entität ohne DNSSEC ist nicht konform.

Was als Nachweis zählt. Ausgangspunkt ist der DET und seine Position im Reverse-DNS-Baum unter 2001:30::/28. Delegation und DNSSEC werden entsprechend dem Entitätstyp geprüft: Für eine Apex-Entität ist DNSSEC erforderlich; für eine Nicht-Apex-Entität ist es empfohlen, und sein Fehlen allein widerlegt die Registrierung nicht. Anschließend folgen der HHIT-Eintrag und im UAS-Fall der BRID-Eintrag. Der HHIT-Eintrag enthält ein Canonical Registration Certificate, also einen technischen Bestandteil des Eintrags und keine rechtliche Einordnung. Danach werden Zertifikat, öffentlicher Schlüssel, DET-Bezug und die Zertifikatskette bis zum vorgesehenen Vertrauenspunkt aufeinander abgestimmt. NOERROR oder ein einzelner Treffer beweist keine gültige Registeraufnahme.

Ergebnisse auseinanderhalten. Liegt der Name außerhalb des richtigen DET-Reverse-Baums, ist der Nachweis nicht erbracht. Eine Apex-Entität ohne DNSSEC ist nicht konform. Bei einer Nicht-Apex-Entität ist das Fehlen von DNSSEC dagegen nicht eigenständig ausschließend; die Registrierung bleibt nur dann unbestätigt, wenn der Zertifikatsweg über aufeinanderfolgende HHIT-Abfragen nicht abgeschlossen werden kann oder wenn Zertifikat, Schlüssel, DET oder Kette nicht übereinstimmen. Ein HHIT-Eintrag ohne BRID im UAS-Kontext verfehlt eine ausdrücklich genannte Voraussetzung. Prüfzeit, TTL und Antwortstatus können als Betriebsspur festgehalten werden; sie belegen jedoch keine Produktionsverbreitung.

Quellen

Die Quellen belegen die Reverse-DNS-Hierarchie, die Registerrollen, die Anforderungen an HHIT und BRID, DNSSEC- und Zertifikatsprüfung sowie die Hinweise zur Veröffentlichung öffentlicher Schlüssel. Die verifizierten Errata korrigieren Beispielkodierungen in den Anhängen; diese Bytefolgen werden hier nicht wiedergegeben und nicht als Betriebsmessungen behandelt. Die Quellen belegen weder aktuelle Produktionseinsätze noch Verbreitung, Verfügbarkeit, Vorfälle, jurisdiktionsbezogene Regeln oder gemessene Datenschutzeffekte.