Zusammenfassung

  • RFC 9904 ist ein RFC aus dem Standardisierungspfad der IETF vom November 2025. Er ersetzt RFC 8624 formell und aktualisiert RFC 9157. Die maßgebliche Empfehlung wird in die IANA-Register für DNS-Sicherheits-Algorithmusnummern und DS-Digest-Algorithmen verlagert.
  • RFC 9904 selbst ändert keinen MUST-, MAY-, RECOMMENDED- oder sonstigen geerbten Empfehlungsstatus. Er ändert die Steuerung und den Ort, an dem Empfehlungen künftig fortgeschrieben werden.
  • Validatoren und Signierer haben unterschiedliche Aufgaben. Ebenso sind die Nutzung zur Validierung und die Nutzung zum Signieren getrennte Entscheidungen. Eine Algorithmusnummer kann gleich bleiben, während sich einzelne Felder zu unterschiedlichen Zeitpunkten ändern.

Der eigentliche Mechanismus

RFC 8624 bündelte Implementierungsanforderungen und Nutzungshinweise in einer statischen Tabelle. RFC 9904 verlagert diese maßgeblichen Hinweise in zwei IANA-DNSSEC-Register. Künftige RFCs können Empfehlungsspalten gezielt aktualisieren, ohne erneut eine vollständige Algorithmustabelle in einem Sammel-RFC zu ersetzen. Der Text von RFC 9904 bleibt die maßgebliche Quelle für den Prozess, der solche Änderungen ermöglicht.

Für jede Algorithmusnummer sind vier Fragen getrennt zu beantworten: Muss ein Validator den Algorithmus implementieren können? Muss ein Signierer ihn implementieren können? Wird er für die Validierung eingehender Signaturen empfohlen? Wird er für die Erzeugung von Signaturen empfohlen? Die Kurzform „unterstützt“ wäre als Steuerungsbegriff zu grob, weil sie diese Rollen zusammenfasst.

Standardisierungsschritt und Interoperabilität

Eine Empfehlung kann nicht durch stille Registerpflege geändert werden. Eine Änderung ihres Werts erfordert einen formellen Standardisierungsschritt und muss den Übergang sowie die Folgen für die Interoperabilität beschreiben. Eine zu frühe Stilllegung birgt ein besonderes Risiko: Ist eine Zone ausschließlich mit einem Algorithmus signiert und wird dieser zu früh aus dem wirksamen Pfad genommen, kann sie Validatoren gegenüber effektiv unsigniert erscheinen. Eine Abkündigung ist daher ein Übergang der Vertrauenskette und nicht bloß das Entfernen einer Tabellenzeile.

Die eingefrorene Quellenlage erlaubt keine Aussage über aktuelle Betreiberadoption, Herstellerunterstützung, Vorfälle, Leistung oder künftige kryptografische Bewertungen. RFC 9904 sagt auch nicht, dass sich bei seiner Veröffentlichung ein bestimmter Empfehlungsstatus geändert hätte.

Konkrete Prüfungen nach der Analyse von Theo March

In der Analyse von Theo March sind die folgenden Punkte Vorschläge für die Änderungssteuerung und keine zusätzlichen Anforderungen von RFC 9904: eine datierte Kopie beider maßgeblicher IANA-Register samt Beobachtungszeit und Quelle zu archivieren; die Implementierung durch Validatoren und Signierer getrennt zu prüfen; anschließend die Nutzung zur Validierung und zum Signieren getrennt zu prüfen; und den zugehörigen Text des Standardisierungsschritts einschließlich Übergang und Interoperabilitätsannahmen zu dokumentieren.

Theo March empfiehlt außerdem, vor einer Stilllegung Überlappungstests durchzuführen, die die fortbestehende Verifikation während des Wechsels zeigen, und Nachweise für eine Rückkehr aufzubewahren, darunter die Registerkopie, die vorherige Konfiguration, Testergebnisse und das Rückkehrkriterium.

Nach der Analyse von Theo March sollte ein Betreiber bei einem abweichenden Registerstand die Änderung pausieren, bei fehlendem Übergangstext oder fehlendem Nachweis der Überlappung nicht stilllegen und bei vorhandenen Nachweisen schrittweise umstellen. Signierung und Validierung sollten dabei getrennt beobachtet werden. Das ist eine analytische Empfehlung zur Lebenszyklussteuerung und keine Änderung des Empfehlungsstatus durch RFC 9904.

Quellen