FinVerse hostet seinen öffentlichen DNS für finverse.com in Amazon Route 53. Das Sicherheitsteam muss DNSSEC aktivieren, um sich vor DNS-Spoofing zu schützen, während es denselben Domain-Registrar weiterhin verwendet. Was ist der richtige Ansatz?

Um DNSSEC für eine in Route 53 gehostete öffentliche Zone zu aktivieren, müssen Sie einen asymmetrischen KMS-Schlüssel (z. B. ECCNISTP256) zum Signieren erstellen. Anschließend aktivieren Sie die DNSSEC-Signierung in der öffentlichen gehosteten Zone und verwenden diesen Schlüssel. Der letzte Schritt besteht darin, den generierten DS-Eintrag (Delegation of Signing) beim Domain-Registrar zu veröffentlichen. Dies ist entscheidend, da der Registrar den DS-Eintrag in der übergeordneten Zone speichert, um die Vertrauenskette aufzubauen und DNS-Spoofing zu verhindern. Die Aktivierung von DNSSEC in einer privaten gehosteten Zone schützt interne Abfragen, nicht aber die öffentliche Domain. Die Aktivierung der DNSSEC-Validierung in Resolver Inbound Endpoints validiert eingehende Abfragen, signiert aber keine ausgehenden Antworten für Ihre Domain. CAA- und SPF-Einträge sind für die Zertifikatsautorisierung bzw. E-Mail-Authentifizierung gedacht und haben keinen direkten Bezug zur DNSSEC-Aktivierung.