Quelltext der Seite RRSIG Resource Record

Mit '''RRSIG Resource Record''' bzw. '''Signature Resource Record''' können im Rahmen von [[Domain Name System Security Extensions|DNSSEC]] (DNS Security) beliebige [[Resource Record]]s digital unterschrieben werden. Der RRSIG-Typ löste 2004 den nahezu identischen [[SIG Resource Record]] ab.

== Hintergrund ==

Ein Benutzer, der auf einen DNS-Anfrage eine Antwort erhält (z.&nbsp;B. eine [[IP-Adresse]]), kann nicht sicher sein, dass die Antwort auch wirklich von einem regulären Nameserver stammt und dass sie nicht auf dem Transportweg verfälscht wurde. Die Lösung von [[Domain Name System Security Extensions|DNSSEC]] ist es, Resource Records digital zu unterschreiben.

Eine [[digitale Signatur]] setzt ein [[Asymmetrisches Kryptosystem|Public-Key-Verfahren]] voraus. Der Nameserver, der für eine Zone autoritativ ist, unterschreibt die Resource Records mit seinem [[Privater Schlüssel|privaten Schlüssel]]. Resolver können die digitale Unterschrift mit dem [[Öffentlicher Schlüssel|öffentlichen Schlüssel]] der Zone validieren. Die digitale Signaturen werden mittels RRSIG Resource Record übertragen.

Die Signatur eines RRSIG Resource Record beglaubigt eine Menge von Resource Records ({{enS|RR set}}), die denselben Namen, dieselbe Klasse und denselben Typ haben. Im einfachsten Fall besteht die Menge aus einem einzelnen Resource Record, dessen Echtheit durch den RRSIG Resource Record beglaubigt wird.

== Aufbau ==

Ein RRSIG Resource Record besteht aus den folgenden Feldern:

; Name
: des digital unterschriebenen RRs
; Aktuelle TTL
: gibt an, wie lange dieser Eintrag im [[Cache]] gehalten werden darf
; Klasse
: zu der der signierte RR gehört
; RRSIG
: RR Typ um den es sich handelt (Typ 46)
; Typ
: des unterschriebenen RR – z.&nbsp;B. [[A Resource Record|A]], [[NS Resource Record|NS]], [[SOA Resource Record|SOA]]
; Signaturalgorithmus
: 3 = [[Digital Signature Algorithm|DSA]]/[[SHA-1]]<br /> 5 = [[RSA-Kryptosystem|RSA]]/SHA-1<br /> 6 = DSA/SHA-1/[[NSEC3]]<br /> 7 = RSA/SHA-1/NSEC3<br /> 8 = RSA/[[SHA-256]]<br /> 10 = RSA/[[SHA-512]]<br /> 12 = GOST R 34.10-2001<br /> 13 = ECDSA/Curve P-256/SHA-256<br /> 14 = ECDSA/Curve P-384/SHA-384<br /> 15 = [[Ed25519]] (EdDSA/Curve25519/SHA-512)<ref name="RFC8080">{{RFC-Internet |RFC=8080 |Titel=Edwards-Curve Digital Security Algorithm (EdDSA) for DNSSEC |Datum=2017}}</ref><ref name="RFC8032">{{RFC-Internet |RFC=8032 |Titel=Edwards-Curve Digital Signature Algorithm (EdDSA) |Datum=2017}}</ref><br /> 16 = [[Ed448]] (EdDSA/Curve448/SHAKE256)<ref name="RFC8080" /><ref name="RFC8032" /><br /> <ref>[https://www.iana.org/assignments/dns-sec-alg-numbers/dns-sec-alg-numbers.xhtml#dns-sec-alg-numbers-1 iana.org]</ref>
; Anzahl der Namenskomponenten
: erforderlich zur Validierung von [[Wildcard-Record]]s
; TTL
: zum Zeitpunkt der Unterschrift
; Endzeitpunkt
: Datum bis zu dem die Unterschrift gültig ist
; Anfangszeitpunkt
: Datum ab dem die Unterschrift gültig ist
; ID-Nummer
: identifiziert den unterzeichnenden [[DNSKEY Resource Record|DNSKEY]], um zwischen mehreren Signaturen zu unterscheiden (engl. ''key tag'')
; Name des Unterzeichners
: entspricht dem Zonennamen, unter dem der DNSKEY abgerufen werden kann
; digitale Signatur
: die Signatur wird in einem Binärformat übertragen und in Zonendateien bzw. zu Präsentationszwecken mit Base64 kodiert dargestellt

== Beispiel ==
In diesem Beispiel wird ein [[A Resource Record]] digital unterschrieben:
 www.child.example. 1285    A    1.2.3.15
 www.child.example. 1285    IN                ; Klasse zu der der RR gehört
                            RRSIG             ; RR ist vom Typ RRSIG
                            A                 ; Signierter Typ ist A
                            8                 ; Verwendeter Signieralgorithmus
                            3                 ; Name hat 3 Komponenten
                            1285              ; Original-TTL
                            (
                            20040327122207    ; Endzeitpunkt
                            20040226122207    ; Anfangszeitpunkt
                            22004             ; ID des verwendeten Schlüssels
                            child.example.    ; Name des Unterzeichners
                            BMTLR80WnKndatr77...BtprR9SLKoZUiPWX ; Hashwert
                            )

== Weblinks ==
* {{RFC-Internet |RFC=4033 |Titel=DNS-Security Extension |Datum=}}
* {{RFC-Internet |RFC=4034 |Titel=Resource Records for the DNS Security Extensions |Datum=}}

== Einzelnachweise ==
<references />

[[Kategorie:Resource Record]]