Der Vorfall, der alles veränderte

Am 4. Oktober 2023 kam es zu einem der schwerwiegendsten DNS-Ausfälle der letzten Jahre. Weltweit konnten Nutzer zahlreiche Webseiten nicht erreichen. Betroffen waren unter anderem große Dienste wie Cloudflares 1.1.1.1, einer der populärsten öffentlichen DNS-Resolver. Der Ausfall legte offen, wie anfällig das Domain Name System (DNS) – quasi das Telefonbuch des Internets – für Fehler und Angriffe ist. Stundenlang waren Millionen von Internetnutzern von der Störung betroffen. Unternehmen, die auf Cloudflare-Dienste angewiesen waren, standen vor dem Ausfall ihrer digitalen Präsenz. Der Vorfall war ein Weckruf für die Branche.

Was ist DNS-Multi-Signing?

DNS-Multi-Signing ist eine kryptografische Technik, die darauf abzielt, die Integrität und Authentizität von DNS-Einträgen zu stärken. Der Grundgedanke: Statt sich auf eine einzige digitale Signatur pro Domain zu verlassen, werden mehrere unabhängige Signaturen verwendet. Diese stammen von verschiedenen autoritativen Servern oder Betreibern. Sollte ein Server kompromittiert werden oder ein Fehler auftreten, können die übrigen Signaturen die Gültigkeit der Daten weiterhin bestätigen. Das macht es Angreifern deutlich schwerer, DNS-Einträge zu manipulieren oder die Kommunikation zu stören.

Der Unterschied zu DNSSEC

Bisher galt DNSSEC (Domain Name System Security Extensions) als der Goldstandard für DNS-Sicherheit. Es fügt den DNS-Daten eine Signatur hinzu, die von der Domain-Inhaberin stammt. Doch dieser Ansatz hat eine Schwachstelle: Der private Schlüssel, mit dem signiert wird, wird nur an einer Stelle verwaltet. Gerät er in falsche Hände oder geht verloren, ist die Sicherheit dahin. DNS-Multi-Signing geht einen Schritt weiter, indem es mehrere unabhängige Schlüssel und Signaturen einführt. Dadurch entsteht ein sogenanntes verteiltes Vertrauensmodell. Selbst wenn ein Schlüssel kompromittiert wird, bleiben die anderen gültig – das System bleibt intakt.

Wie funktioniert die Technik im Detail?

Im Kern nutzt DNS-Multi-Signing eine Erweiterung der vorhandenen DNSSEC-Standards. Statt einer einzigen Signatur für einen Eintrag wie eine IP-Adresse werden mehrere Kryptogramme erzeugt. Diese stammen von verschiedenen autoritativen Nameservern, die jeweils über eigene Schlüsselpaare verfügen. Die Signaturliste wird dann zusammen mit den normalen DNS-Daten ausgeliefert. Ein auflösender DNS-Server (Resolver) kann nun überprüfen, ob mindestens eine – oder je nach Konfiguration eine bestimmte Anzahl – der Signaturen gültig ist. Sind genügend gültige Signaturen vorhanden, gilt die Antwort als vertrauenswürdig.

Dieses Verfahren ähnelt dem Prinzip der Multi-Signatur-Wallets in der Kryptowelt, wo ebenfalls mehrere Unterschriften für eine Transaktion nötig sind. Im DNS-Kontext erhöht es die Ausfallsicherheit erheblich. Fällt ein autoritativer Server aus oder wird dessen Schlüssel korrumpiert, können die verbleibenden Server die Antworten weiterhin signieren. Der Resolver akzeptiert sie, solange die erforderliche Mindestanzahl an Signaturen erreicht wird.

Anwendungsfelder und Vorteile

Die Technologie könnte besonders dort zum Einsatz kommen, wo hohe Zuverlässigkeit und Sicherheit gefragt sind – etwa bei kritischen Infrastrukturen, Finanzdiensten oder Cloud-Plattformen. Denkbar wäre auch der Einsatz bei öffentlichen Resolvern wie dem von Cloudflare, um die Resilienz gegenüber Ausfällen zu steigern.

Ein großer Vorteil von DNS-Multi-Signing ist die gesteigerte Manipulationsresistenz. Selbst wenn es einem Angreifer gelingt, die Kontrolle über einen einzelnen Server zu erlangen, kann er keine falschen DNS-Daten unterschieben, weil die nötigen anderen Signaturen fehlen. Gleichzeitig erhöht sich die Fehlertoleranz: Ein fehlerhafter Server bringt nicht das gesamte System zum Einsturz.

Herausforderungen auf dem Weg zur Einführung

Trotz der offensichtlichen Vorteile gibt es Hürden. Die Implementierung von DNS-Multi-Signing erfordert Änderungen an der Software sowohl auf autoritativen als auch auf rekursiven Servern. Das bedeutet, dass Betreiber ihre Systeme aktualisieren müssen – ein Prozess, der Zeit und Ressourcen beansprucht. Zudem müssen sich die verschiedenen Akteure der DNS-Infrastruktur auf gemeinsame Standards einigen. Bisher gibt es keinen allgemein akzeptierten RFC, der die Technik verbindlich festlegt. Ohne Standardisierung ist eine breite Einführung jedoch unwahrscheinlich.

Ein weiteres Problem: Mehrere Signaturen bedeuten mehr Daten, die über das Netzwerk übertragen werden müssen. In Zeiten großer DNS-Abfragemengen könnte dies zu einer erhöhten Latenz führen. Allerdings dürfte dieser Effekt bei modernen Netzwerken und entsprechend optimierten Implementierungen gering ausfallen. Schließlich müssen auch Sicherheitsaspekte rund um die Schlüsselverwaltung bedacht werden. Je mehr Schlüssel im Spiel sind, desto komplexer wird deren Verwaltung. Verlorene oder kompromittierte Schlüssel müssen schnell widerrufen werden können, ohne das gesamte System zu gefährden.

Ein Blick in die Zukunft

Der Ausfall im Oktober 2023 hat gezeigt, dass selbst große Anbieter wie Cloudflare nicht immun gegen DNS-Probleme sind. DNS-Multi-Signing bietet einen vielversprechenden Weg, solche Vorfälle in Zukunft zu vermeiden oder zumindest abzufedern. Auch wenn die Technik noch in den Kinderschuhen steckt, arbeiten Forscher und Entwickler intensiv daran, sie praxistauglich zu machen. In den kommenden Jahren könnten erste Betreiber die Multi-Signatur einführen und so die Sicherheit und Stabilität des Internets nachhaltig verbessern. Das Ziel ist ein DNS, das nicht nur schneller, sondern vor allem widerstandsfähiger gegen Störungen und Angriffe ist – eine absolut notwendige Evolution für die digitale Infrastruktur unserer Zeit.

Die Vorfälle der Vergangenheit sollten als Mahnung dienen. Wer auf ein sicheres Internet angewiesen ist, sollte die Entwicklungen rund um DNS-Multi-Signing genau im Auge behalten. Es ist ein Paradebeispiel dafür, wie kryptografische Verfahren helfen können, grundlegende Internetdienste robuster zu machen.