hmLoadTopic({
hmKeywords:"DNS Security Extensions,DNS sichern,DNSSEC,DNS-Sicherheitserweiterungen,Sicherheitserweiterungen für DNS,Sichern von DNS,SSL & TLS,SSL & TLS DNSSEC",
hmTitle:"DNSSEC",
hmDescription:"Mithilfe der Option DNSSEC (DNS Security Extensions, Sicherheitserweiterungen für DNS) kann MDaemon als nicht-validierender, sicherheitsbewusster Stub-Resolver (\"Non-Validating...",
hmPrevLink:"ssl_smtp-extensions.html",
hmNextLink:"ssl_lets-encrypt.html",
hmParentLink:"ssl__certificates.html",
hmBreadCrumbs:"<a href=\"security_menu.html\">Das Menü Sicherheit<\/a> &gt; Sicherheits-Manager &gt; <a href=\"ssl__certificates.html\">SSL &amp; TLS<\/a>",
hmTitlePath:"Das Menü Sicherheit > Sicherheits-Manager > SSL & TLS > DNSSEC",
hmHeader:"<h1 class=\"p_Heading1\" style=\"page-break-after: avoid;\"><span class=\"f_Heading1\">DNSSEC<\/span><\/h1>\n\r",
hmBody:"<p class=\"p_BodyText_Center\"><img style=\"margin:0 auto 0 auto;width:37.2500rem;height:26.8750rem;border:none\" src=\".\/images\/ssl-tls_dnssec.png\"\/><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">Mithilfe der Option DNSSEC (DNS Security Extensions, Sicherheitserweiterungen für DNS) kann MDaemon als nicht-validierender, sicherheitsbewusster Stub-Resolver (&quot;Non-Validating Security-Aware Stub Resolver&quot;) arbeiten. Die RFCs <a href=\"https:\/\/tools.ietf.org\/html\/rfc4033\" target=\"_blank\" class=\"weblink\" title=\"Link to RFC-4033\">4033<\/a> und <a href=\"https:\/\/tools.ietf.org\/html\/rfc4035\" target=\"_blank\" class=\"weblink\" title=\"Link to RFC-4035\">4035<\/a> definieren einen solchen Resolver als eine Einheit, die DNS-Abfragen übermittelt, DNS-Antworten empfängt, und einen angemessen gesicherten Kanal zu einem sicherheitsbewussten rekursiv arbeitenden Nameserver aufbauen kann, der diese Dienste für den sicherheitsbewussten Stub-Resolver erbringt&quot;. Dies bedeutet, dass MDaemon in den DNS-Abfragen den DNSSEC-Dienst von Ihren DNS-Servern anfordern kann, das Kennzeichen für echtheitsbestätigte Daten (AD, Authentic Data) in den Abfragen setzen und die Antworten auf sein Vorhandensein prüfen kann. Hierdurch wird während der Verarbeitung von DNS-Daten zusätzliche Sicherheit geschaffen; da aber noch nicht alle DNS-Server und Top-Level-Domänen DNSSEC unterstützen, kann diese zusätzliche Sicherheit nur für einen Teil der anfallenden Nachrichten wirksam werden.<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">DNSSEC wirkt auch nach der Aktivierung nur auf Nachrichten, die den festgelegten Auswahlkriterien entsprechen. Sie können daher flexibel bestimmen, in welchem Umfang DNSSEC genutzt werden soll. Auf diesem Konfigurationsdialog können Sie Kombinationen aus &quot;<\/span><span class=\"f_PlainText\">Kopfzeile <\/span><span class=\"f_BodyText\">und <\/span><span class=\"f_PlainText\">Inhalt<\/span><span class=\"f_BodyText\">&quot; bestimmen. MDaemon fordert dann bei der DNS-Abfrage DNSSEC für alle Nachrichten an, die den hierdurch bestimmten Kriterien entsprechen. Enthalten die DNS-Antworten keine echtheitsbestätigten Daten, so führt dies grundsätzlich nicht zu negativen Folgen, und MDaemon fällt nur auf normalen DNS-Betrieb zurück. Hiervon abweichend können Sie DNSSEC für bestimmte Nachrichten <\/span><span class=\"f_BodyText\" style=\"font-style: italic;\">zwingend erforderlich<\/span><span class=\"f_BodyText\"> machen, indem Sie der Kombination aus Kopfzeile und Inhalt das Schlüsselwort &quot;SECURE&quot; hinzusetzen (etwa <\/span><span class=\"f_PlainText\">To *@example.net SECURE<\/span><span class=\"f_BodyText\">). Enthalten bei Nachrichten, die solchen Kriterien entsprechen, die DNS-Antworten keine echtheitsbestätigten Daten, so werden diese Nachrichten an die Absender zurückgeleitet. <\/span><span class=\"f_BodyText\" style=\"font-weight: bold;\">Beachte:<\/span><span class=\"f_BodyText\"> DNSSEC-Abfragen nehmen mehr Zeit in Anspruch und sind ressourcenintensiver als normale DNS-Abfragen, außerdem wird DNSSEC noch nicht durch alle Server unterstützt. MDaemon ist daher per Voreinstellung nicht darauf konfiguriert, für alle Nachrichten DNSSEC zu verwenden. Falls Sie DNSSEC für jede Nachricht verwenden wollen, fügen Sie in diesem Konfigurationsdialog den Eintrag &quot;<\/span><span class=\"f_PlainText\">To *<\/span><span class=\"f_BodyText\">&quot; hinzu.<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">Falls DNSSEC genutzt wurde, enthalten die Protokolle über die Übermittlung von Nachrichten zu Beginn einen entsprechenden Hinweis, und &quot;DNSSEC&quot; erscheint in den Protokollen neben den echtheitsbestätigten Daten.<\/span><\/p>\n\r<div style=\"text-align: left; text-indent: 0; padding: 0 0 0 0; margin: 0 3.0625rem 0.8750rem 3.0000rem;\"><table style=\"background-color:#ffffe6; border:solid thin #000000; border-spacing:0;\">\n\r<tr>\n\r<td style=\"vertical-align:top; width:3.1250rem; height:3.1250rem; padding:0.3125rem; border:none\"><p class=\"p_NoFormat\"><img style=\"margin:0;width:3.1250rem;height:3.1250rem;border:none\" src=\".\/images\/forbidden_50_yback.gif\"\/><\/p>\n\r<\/td>\n\r<td style=\"vertical-align:top; padding:0.3125rem; border:none\"><p class=\"p_Notes\"><span class=\"f_Notes\">MDaemon ist ein nicht-validierender Stub-Resolver. Dies bedeutet, dass MDaemon zwar echtheitsbestätigte DNS-Daten von Ihrem DNS-Server anfordern, aber nicht selbst prüfen kann, ob die Daten, die hierauf zurückgemeldet werden, tatsächlich sicher sind. Um das Leistungsmerkmal DNSSEC richtig einzusetzen, müssen Sie daher sicherstellen, dass die Verbindung zu Ihrem DNS-Server vertrauenswürdig ist, etwa, weil er auf dem localhost oder in einem sicheren Netzwerk oder einer sicheren Umgebung ausgeführt wird.<\/span><\/p>\n\r<\/td>\n\r<\/tr>\n\r<\/table>\n\r<\/div>\n\r"
})
