Zusammenfassung

  • RFC 9906 ist ein IETF Standards Track-Dokument vom November 2025 und aktualisiert RFC 5933. Es beendet die DNSSEC-Nutzung von GOST R 34.10-2001, hier ECC-GOST genannt, und GOST R 34.11-94.
  • Alle betroffenen Registerzellen für Signierung, Validierung, Implementierung und Nutzung stehen auf MUST NOT. ECC-GOST darf daher keine DNSKEY- oder RRSIG-Records erzeugen; GOST R 34.11-94 darf keine DS-Records erzeugen.
  • Eine Delegation, die nur einen DS von GOST R 34.11-94 besitzt, ist insecure. Sind ECC-GOST-RRSIGs nicht unterstützt und existiert keine andere akzeptierte RRSIG, müssen die zugehörigen Records ebenfalls als insecure gelten. Das ist nicht als bogus oder als kryptografischer Validierungsfehler zu bezeichnen.
  • Zonenbetreiber sollten auf unterstützte Algorithmen umstellen. Registries sollten Upload und Veröffentlichung von ECC-GOST-DS ablehnen. Die eigenständigen GOST-2012-Algorithmen aus RFC 9558 sind nicht Gegenstand dieser Stilllegung; ihre Anforderungsstufen ändern sich hier nicht.

Was das Schließen beider Pfade bedeutet

RFC 9905 ließ im SHA-1-Übergang eine asymmetrische Kompatibilitätsspanne bestehen. RFC 9906 tut dies für das alte GOST-Paar nicht: Jede betroffene Zelle für Erzeugung, Prüfung, Implementierung und Einsatz lautet MUST NOT. Die Kontrolle liegt dadurch nicht allein beim Signer, sondern in einer Kette aus Signer, Registry-Zulassung, DS beim Parent und Resolver-Verhalten. Die Vorgabe lautet nicht, dass Validatoren ECC-GOST-Unterstützung fortsetzen müssen; vielmehr ist der festgelegte Ausgang bei ausschließlich altem Material insecure.

Quellen