DNSSEC mit den SHA-1-Algorithmen 5 und 7: warum es Ihre Zone nicht mehr schützt
Die kurze Antwort
RFC 9905 (November 2025) besagt, dass Zonen nicht mehr mit RSASHA1 (5) oder RSASHA1-NSEC3-SHA1 (7) signiert werden dürfen und dass validierende Resolver diese Signaturen als nicht unterstützt behandeln müssen. Ihre Domain wird weiterhin aufgelöst, aber ihre Antworten werden nicht mehr validiert: DNSSEC schützt Sie nicht mehr, ohne irgendwo einen Fehler zu zeigen. Die Lösung ist ein Algorithmus-Rollover, meist auf 13 (ECDSA P-256).
Die Algorithmusnummern und was die RFCs zum Signieren mit jeder sagen
Finden Sie Ihren mit dig DNSKEY example.com +short: Die dritte Zahl jedes Eintrags ist der Algorithmus. Im DS-Eintrag bei Ihrem Registrar (dig DS example.com +short) ist es die zweite Zahl, und die dritte ist der Digest-Typ.
| Nummer | Name | Verwendung zum Signieren |
|---|---|---|
1 | RSAMD5 | MUST NOT |
3 | DSA | MUST NOT |
5 | RSASHA1 | MUST NOT (RFC 9905; vorher NOT RECOMMENDED) |
6 | DSA-NSEC3-SHA1 | MUST NOT |
7 | RSASHA1-NSEC3-SHA1 | MUST NOT (RFC 9905; vorher NOT RECOMMENDED) |
8 | RSASHA256 | MUST |
10 | RSASHA512 | NOT RECOMMENDED |
13 | ECDSAP256SHA256 | MUST |
14 | ECDSAP384SHA384 | MAY |
15 | ED25519 | RECOMMENDED |
16 | ED448 | MAY |
SkyQon markiert 1, 3, 5, 6 und 7 als schwach, ebenso einen DS-Eintrag mit Digest-Typ 1 (SHA-1), der für die Delegation ebenfalls nicht verwendet werden darf; verwenden Sie Digest-Typ 2 (SHA-256). Quellen: RFC 8624 §3.1 und §3.3, aktualisiert durch RFC 9905.
Was ausfällt und wer es bemerkt
- Validierende Resolver prüfen Ihre Antworten nicht mehr. RFC 9905 weist sie an, RSASHA1 und RSASHA1-NSEC3-SHA1 als nicht unterstützt zu behandeln, wodurch Ihre Zone unsicher statt fehlerhaft wird: Antworten werden akzeptiert, und eine gefälschte wird nicht mehr erkannt. RFC 9905 §2
- Kein Fehler, kein Ausfall. Die Auflösung funktioniert weiter, also bemerkt es niemand. Ein Monitor, der nur fragt „ist DNSSEC aktiv?“, bleibt grün.
- Manche Systeme lehnen SHA-1 bereits ab. RFC 9905 merkt an, dass die Unterstützung für die Validierung von SHA-1-Signaturen aus einigen Systemen entfernt wurde, daher ist Ihre Zone für deren Nutzer schon heute ungeschützt.
- DANE fällt mit. DANE-Einträge für Ihre Mailserver zählen nur in einer Zone, die validiert. In einer Zone, die als unsicher behandelt wird, ignorieren Absender sie. RFC 7672 §2.2
Prüfen Sie Ihren DNSSEC-Algorithmus
Die kostenlose Domain-Prüfung liest Ihre DS- und DNSKEY-Einträge, sagt Ihnen, ob die Kette von Ihrem Registrar aus validiert, und nennt den Algorithmus, mit dem Sie signieren.
Kostenlos, ohne Konto. Wir lesen nur öffentliches DNS und das, was Ihre Server jedem zeigen, der sich verbindet.
Schritt für Schritt beheben
Sehen, womit Sie heute signieren
Führen Sie dig DNSKEY example.com +short und dig DS example.com +short aus oder nutzen Sie die kostenlose Prüfung. Notieren Sie die Algorithmusnummern und den DS-Digest-Typ.
Zuerst Ihren DNS-Anbieter fragen
Die meisten verwalteten DNS-Anbieter wechseln den Algorithmus für Sie, auf Anfrage oder mit einer Einstellung. Tut Ihrer das, bleibt für Sie womöglich nur der neue DS bei Ihrem Registrar.
Mit beiden Algorithmen signieren
Fügen Sie neue Schlüssel mit dem neuen Algorithmus hinzu, zum Beispiel 13, und signieren Sie die Zone sowohl mit den alten als auch mit den neuen Schlüsseln. Veröffentlichen Sie beide Sätze von DNSKEY-Einträgen.
Auf die Caches warten
Warten Sie mindestens die DNSKEY-TTL plus die Signatur-TTL, damit jeder Resolver beide Sätze von Schlüsseln und Signaturen gesehen hat.
Den DS bei Ihrem Registrar ersetzen
Fügen Sie den DS für den neuen Schlüssel mit Digest-Typ 2 (SHA-256) hinzu. Warten Sie, bis die DS-TTL der übergeordneten Zone abgelaufen ist, und entfernen Sie dann den alten DS.
Den alten Algorithmus entfernen
Sobald der alte DS aus den Caches verschwunden ist, entfernen Sie die alten Schlüssel und ihre Signaturen. Prüfen Sie dann erneut: Das Ergebnis sollte den neuen Algorithmus und eine Kette nennen, die validiert.
Häufige Fehler
Die Schlüssel in einem Schritt austauschen
Nur neue Schlüssel, während die übergeordnete Zone noch den alten DS hält, unterbricht die Kette. Validierende Resolver verweigern dann überhaupt jede Antwort für Ihre Domain, und das ist ein Ausfall.
Im Ergebnis von SkyQon: die Meldung „DNSSEC keys are published but our validating resolver did not return AD“, wenn die Kette nicht validiert.
DNSSEC in der falschen Reihenfolge entfernen
Die Signatur der Zone zu entfernen, während der DS noch beim Registrar liegt, hat dieselbe Wirkung: Resolver erwarten Signaturen und finden keine.
Im Ergebnis von SkyQon: die Meldung „DS published at the parent but no DNSKEY at the zone apex — broken DNSSEC chain“.
Einen DS mit Digest-Typ 1 behalten
Ein DS mit dem SHA-1-Digest darf ebenfalls nicht für die Delegation verwendet werden. Ersetzen Sie ihn beim Rollover durch Digest-Typ 2.
Im Ergebnis von SkyQon: Ein Befund, wenn ein DS-Eintrag Digest-Typ 1 (SHA-1) verwendet, auch wenn daneben einer mit SHA-256 steht. Er ändert Ihren Score nicht und löst keinen Alarm aus.
Auf Algorithmus 10 wechseln
RSASHA512 funktioniert, aber RFC 8624 stuft es zum Signieren als NOT RECOMMENDED ein, und seine Signaturen sind groß.
Im Ergebnis von SkyQon: 8 und 10 werden akzeptiert, mit dem Hinweis, dass ECDSA P-256 oder Ed25519 für neue Zonen vorzuziehen ist. Wählen Sie 13, wenn Ihr Anbieter es unterstützt.
Was SkyQon tut und was nicht
Was es findet
Ob Ihre Zone signiert ist, ob die Kette von Ihrem Registrar validiert, welche Algorithmusnummern Ihre DS- und DNSKEY-Einträge verwenden und ob ein DS-Eintrag den SHA-1-Digest verwendet. 1, 3, 5, 6 und 7 werden als schwach markiert.
Was Sie bekommen
Den Befund in der kostenlosen Prüfung und bei jedem Scan einer überwachten Domain, mit dem benannten Algorithmus und den Schritten für den Rollover.
Was es nicht ist
Wir ändern weder Ihre Schlüssel noch Ihre DS-Einträge: Das geschieht bei Ihrem DNS-Anbieter und Ihrem Registrar. Der Befund zum SHA-1-Digest ändert Ihren Score nicht und löst keinen Alarm aus.
DNSSEC und SHA-1: häufige Fragen
Ist meine Domain offline, wenn sie mit Algorithmus 5 oder 7 signiert ist?
Auf welchen Algorithmus sollte ich wechseln?
Was ist der Unterschied zwischen 5 und 7?
NSEC3 hasht Namen ebenfalls mit SHA-1. Ist das auch ein Problem?
Wie lange dauert ein Rollover?
Kann ich DNSSEC einfach abschalten?
Hängt die DANE-Prüfung von SkyQon davon ab?
Was ändert RFC 9905 für DS-Einträge?
Sehen Sie, welcher Algorithmus Ihre Zone schützt.
Die kostenlose Prüfung nennt Ihren DNSSEC-Algorithmus und sagt Ihnen, ob die Kette validiert. Fügen Sie die Domain dem Free-Plan hinzu, und jeder Scan prüft es erneut.