RFC 4470 – Minimally Covering NSEC Records and DNSSEC On-line Signing

RFC 4470 spezifiziert eine Methode zur Konstruktion von DNSSEC-NSEC-Ressourceneinträgen, die einen kleineren Namensbereich abdecken als in RFC 4034 vorgesehen. Durch die bedarfsgesteuerte Erzeugung und Signatur dieser Einträge können autoritative Nameserver das Auslesen von Zoneninhalten mittels NSEC-Chain-Walking verhindern. Dies adressiert ein grundlegendes Privacy-Problem des DNSSEC-Protokolls, bei dem NSEC-Records die vollständige Liste aller Ressourcennamen einer Zone preisgeben können.

Der Kern des Verfahrens besteht darin, dass für nicht existierende Namen dynamisch NSEC-Records mit minimaler Abdeckung erzeugt werden. Diese Epsilon-NSEC-Records verwenden als Owner-Name einen lexikalisch vor der Anfrage liegenden Namen und als Next-Name einen lexikalisch danach liegenden Namen, wobei zwischen beiden kein existierender Zoneneintrag liegt. Der Type-Bitmap dieser Records enthält lediglich RRSIG und NSEC. Die Erzeugung erfordert eine Onlinesignatur mit privaten Schlüsseln, was das Verfahren von herkömmlichem Offline-Signing unterscheidet.

Historisch betrachtet stellt RFC 4470 einen Übergangsmechanismus dar, der vor der Etablierung von NSEC3 entwickelt wurde. Während es praktische Nachteile wie erhöhte Rechenlast und Sicherheitsrisiken durch Onlinesigning aufweist, bietet es für Zonenbetreiber eine sofort umsetzbare Option, um Zone-Walking zu erschweren – insbesondere in Szenarien, in denen der vollständige Zoneninhalt nicht preisgegeben werden soll. Die in der Spezifikation beschriebenen Epsilon-Funktionen zur Namensgenerierung bleiben ein zentraler Bestandteil des Verfahrens.