Nameserver-Security für .at

Bei einer ITU-Tagung ( International Telecom Union ) im März 2003 hat die Firma Nominum  eine Studie  vorgestellt, in der die Nameserver aller 243 Länder-Domains (wie z.B. .at) untersucht wurden.
In dieser Studie wurden elf kritische Punkte genannt, die das Funktionieren der Domains unter dem jeweiligen Länderkürzel beeinträchtigen können: Fehleinträge im DNS, CNAME Records, lame delegations, recursive queries, zone transfers, zu wenig diversifizierte Software und Standorte, unzureichendes Monitoring, mangelhafte Serviceverträge und fehlende Strategien gegen Denial-of-Service Attacken.

Laut dieser Kriterien sind .at-Nameserver fehlerfrei.

Im Folgenden listen wir die Problempunkte einzeln auf und geben die Antwort speziell für .at-Nameserver:

1) Können die Namen der Nameserver aufgelöst werden?
Ja. Alle verwendeten Nameserver sind auch im DNS eingetragen.

2) Werden für die eingetragenen Nameserver CNAME Records verwendet?
Nein.

3) Ist das Set in der Root-zone mit den verwendeten Nameservern konsistent?
Ja. Der Set der verwendeten Nameserver und der Set der in der Root-Zone eingetragenen Nameserver ist ident. Das wird auch laufend von nic.at überprüft. Für alle Nameserver existieren glue Records in der Root-Zone.

4) Existieren Lame Delegations?
Nein. Alle eingetragenen Nameserver antworten autoritativ. Das wird von nic.at laufend überprüft.

5) Erlauben die nic.at Nameserver recursive queries?
Nein. Das ist bei allen nic.at Nameserver abgeschaltet.

6) Erlauben die NIC.AT Nameserver Zone transfers?
Nein. Das ist bei allen nic.at Nameserver abgeschaltet.

7) Verwendet nic.at unterschiedliche Nameserver Software?
Ja. Es werden derzeit 3 verschiedene Produkte eingesetzt.

8) Gibt es unterschiedliche Lokationen der Nameserver?
Ja. Sowohl physisch als auch netzwerktechnisch befinden sich die nic.at Nameserver an unterschiedlichen Lokationen. Jeder Nameserver ist "anders" an das Internet angebunden.

9) Betreibt nic.at Monitoring?
Ja. Alle Nameserver werden laufend überwacht.

10) Gibt es Service Level Agreements mit den Secondary-Betreibern?
Ja. nic.at hat für den Betrieb der secondary Nameserver genaue Vereinbarungen mit den jeweiligen Partnern und Dienstleistern.

11) Werden verteilte Denial of Service Attacken (DDoS) verhindert?
Diese äußerst komplexe Thematik kann nicht von nic.at alleine gelöst werden. Bei solchen Attacken sind immer auch Netzbereiche in unterschiedlicher Ausprägung betroffen. Jedenfalls steht nic.at mit anderen Einrichtungen und Netzbetreibern in ständiger Verbindung, um geeignete Massnahmen setzen zu können. Intern bestehen Einrichtungen, um die Gefahr möglichst gering zu halten.

Lesen Sie hier auch das Statement von CENTR , der europäischen Vereinigung der Länder-Registrierungsstellen.