Sicherheitsanstrengungen beim Domain-Verwalter

Der deutsche Domain-Verwalter DeNIC will sein Registrierungssystems besser gegen Missbrauch schützen. Langfristig plant der Registrar, E-Mails von Providern mit Änderungsaufträgen für die Domain-Datenbank nur noch anzunehmen, wenn sie mit einer zertifizierten PGP-Signatur versehen sind.

Das soll sicherstellen, dass nur autorisierte DeNIC-Mitglieder Änderungen an der Domain-Datenbank durchführen können. Seit dem 5. Dezember läuft eine Testumgebung, die voll funktionsfähig ist, aber noch keine Verbindung zur Domain-Datenbank hat. Zum Erscheinungstermin dieses Hefts, dem 17. Dezember, soll dieses System in die Produktionsumgebung überführt worden sein.

Im Gespräch mit c't betonte DeNIC-Geschäftsführerin Sabine Dolderer, dass die Mitglieder vorerst nicht gezwungen werden, sich in den E-Mails mit einer PGP-Signatur auszuweisen: ‘Es gibt noch zu viele Probleme mit der Verifikation der Signaturen. Das fängt an mit der Policy, die wir fahren wollen, und hört bei Mailern, die in den E-Mails Tabs durch Blanks ersetzen und damit die Signatur unbrauchbar machen, noch lange nicht auf. Im Sinne der Verfügbarkeit wolle man das Ergebnis der Testphase abwarten. Eventuell werde man die PGP-Signatur ab Februar 2002 für obligatorisch erklären.

Bis vor kurzem sah das Verwaltungssystem überhaupt keinen Schutz vor. Per fingierter E-Mail mit der Absenderadresse eines autorisierten DeNIC-Mitglieds war es jedermann möglich, .de-Domain-Einträge zu ändern und sogar Domains auf andere Webserver umzuleiten. Als erste Reaktion auf die Veröffentlichung des Problems in c't hatte das DeNIC einen einfachen Passwortschutz eingeführt [1].

Dolderer versicherte, dass ihr bislang kein Fall bekannt sei, bei dem in den letzten Jahren die Sicherheitslücke genutzt worden sei. ‘Wer daraus hätte Kapital schlagen wollen, müsste schon über eine enorme kriminelle Energie verfügen’, sagte Dolderer. Größere Änderungen wären vom DeNIC aber sofort bemerkt worden, behauptete sie. (hob)

Literatur

[1] Patrick Brauch: Public Domains, c't 24/01, S. 16 ()