Skip to content

Standard Reader

Tag

Dnssec

Articles and publications tagged Dnssec across the Atmosphere.

17articles2publications

Articles

Publications

social.goneo.de

social.goneo.deOct 19, 2026

„Die eigene Domain ist wie ein Eintrag im Grundbuch“

Identitätsanker DNS: Warum Kriminelle für 8 Euro Firmen kapern, Großkonzerne um TLDs zocken und wie du dein Hosting mit DMARC und Co. absicherst. Erfahre, welche neue Rolle die eigene Domain in der Maschine-zu-Maschine-Kommunikation heute spielt.

Cybercrimedenic

-=Kernel-Error=-Sep 23, 2026

Keyoxide: der fünfte Claim scheiterte an der Position im Profil, nicht am Beweis

Der fünfte Keyoxide-Claim, der Beweis für den Fediverse-Actor dieses Blogs, scheiterte im August trotz korrektem Beweis. Die Ursache lag in einer Reihenfolge-Abhängigkeit zwischen zwei fremden Projekten, gefunden im Quellcode von doipjs und dem ActivityPub-Plugin, jetzt behoben.

@kernel-error.de@www.kernel-error.deDNSSEC

-=Kernel-Error=-Sep 12, 2026

Keyoxide: die Linux-App ist im Flathub, dazu ein Android-Update

Der Keyoxide-Beitrag von August bekommt einen kurzen Nachtrag: die Linux-App liegt jetzt im Flathub, die Android-App wurde aktualisiert, und für Fragen gibt es einen eigenen Matrix-Kanal. Dazu der Faktencheck, ob der QR-Code in der App wirklich auf die richtige Datei zeigt.

DNSSECEncryption

-=Kernel-Error=-Aug 17, 2026

ECH aktivieren: Encrypted Client Hello in nginx mit OpenSSL 4.0, sechs Domains und ein gemeinsamer Deckname

Der Servername im TLS-Handshake bleibt für jeden Netzwerkbeobachter sichtbar, selbst wenn DNS-Anfragen längst verschlüsselt laufen. Mit OpenSSL 4.0 und einem gemeinsamen Deckname über mehrere unabhängige Domains hinweg lässt sich das schließen, wenn eine Entscheidung nicht falsch getroffen wird: der öffentliche Name.

-=Kernel-Error=-Aug 2, 2026

Keyoxide: den OpenPGP-Schlüssel an Online-Identitäten binden, vier grüne Haken und ein rotes Kreuz

Ein neuer GPG-Schlüssel wirft die Frage auf, woher irgendwer wissen soll, dass er mir gehört. Das Web of Trust ist tot, Identity Claims füllen die Lücke: Claims in der Selbstsignatur, Proofs an DNS, GitHub und Matrix. Mit vier grünen Haken, einem roten Kreuz und einem CORS-Bug.

DNSSECEncryption

-=Kernel-Error=-May 25, 2026

SSH Host Keys per SSHFP im DNS veröffentlichen

SSH-Host-Keys nicht mehr per Trust-on-First-Use pruefen, sondern aus dem DNS lesen: SSHFP-Records nach RFC 4255 erzeugen, in die Zone eintragen, VerifyHostKeyDNS aktivieren. Plus die DNSSEC-Pflichtkomponente und was zu beachten ist bei alten OpenSSH-Versionen.

-=Kernel-Error=-May 25, 2026

OPENPGPKEY: GPG-Schlüssel direkt im DNS veröffentlichen

GPG-Schluessel direkt als OPENPGPKEY-Record im DNS hinterlegen, ohne Keyserver-Abhaengigkeit oder Web-of-Trust. RFC 7929 erklaert, die SHA-256-Hash-Variante des Local-Part, ein Generator fuer den Record und warum DNSSEC die Voraussetzung ist. Plus Hinweis zur Recordgroesse.

-=Kernel-Error=-May 25, 2026

IP Reverse Map Delegation: Einrichtung und Fehlerbehebung

Wer eine kleinere IP-Range als /24 hat (typisch beim Reseller mit /28 oder /29), kann keine eigene PTR-Zone betreiben. RFC 2317 loest das per CNAME-Delegation im /24 des Providers. Praxis-Walkthrough mit BIND-Zonenfiles auf beiden Seiten und der Standard-Stolperstein bei der Sub-Range-Notation.

-=Kernel-Error=-May 25, 2026

Postfix mit DANE und DNSSEC absichern

Postfix-MTA mit DANE absichern: TLSA-Records nach RFC 7672, smtp_tls_security_level=dane, die "3 1 1"-Selector-Variante als langlebige Wahl, der DNSSEC-Stack als Grundvoraussetzung und Tools fuer die Pruefung. Plus eine Kurz-Erklaerung zu Untrusted vs Verified im Postfix-Log.

-=Kernel-Error=-May 25, 2026

TLSA- und DANE-Records manuell prüfen: Schritt für Schritt mit OpenSSL

TLSA- und DANE-Records manuell pruefen mit OpenSSL, dig und hash-slinger. Fingerprint-Berechnung fuer Selector 0/1 und Matching-Type 0/1/2 durchgespielt. Nuetzlich wenn ein TLSA-Record nicht validiert und man wissen will warum.

-=Kernel-Error=-May 24, 2026

DNSSEC und DANE: TLS-Zertifikate mit TLSA-Records absichern

DANE und TLSA-Records ermoeglichen TLS-Zertifikat-Schutz via DNSSEC, nicht ueber CA-Zertifikatsketten. Praktische OpenSSL-Befehle zum Hash erzeugen, dig zum Pruefen. Bei mir im Einsatz, funktioniert elegant.

-=Kernel-Error=-May 24, 2026

DNSSEC einrichten: Zonen signieren mit BIND

DNSSEC-Anleitung: Trust-Chains, Zonen-Signierung mit BIND und dnssec-policy, DS-Records beim Registrar, Validierung mit dig. Warnung: TTL-Konflikte bei Aenderungen. Mit moderner BIND-Version (9.16+) gut zu handhaben.

-=Kernel-Error=-May 24, 2026

DNSSEC und SSHFP unter Linux Mint und Ubuntu zum Laufen bringen

SSH sollte Hostkeys via DNSSEC-gesicherten SSHFP-Records verifizieren. Fehler: systemd-resolved filterte das AD-Flag raus. Loesung: systemd-resolved weg, NetworkManager mit trust-ad Option. Jetzt funktioniert DNSSEC korrekt.

-=Kernel-Error=-May 24, 2026

S/MIME-Zertifikat per DNS veröffentlichen – SMIMEA

S/MIME-Zertifikate per DNS (SMIMEA, RFC 8162) veroeffentlichen. Schrieb zwei Python-Skripte dafuer: Generierung und Lookup mit OpenSSL-Integration. Bugs in bestehenden Tools gefunden: TYPE53, fehlende SHA256-Hashes. Jetzt automatisiert.

-=Kernel-Error=-May 24, 2026

MTA-STS einrichten: Transportverschlüsselung für E-Mail erzwingen

MTA-STS (RFC 8461) zwingt Mailserver zu verschluesselter Uebertragung. Konfiguration: DNS TXT-Record, Policy-Hosting, optionale TLS-Reports. Start im testing-Modus, dann auf enforce schalten. Pragmatischer als DANE.

-=Kernel-Error=-May 24, 2026

HTTPS RR und SVCB: Moderne DNS-Records für schnellere und sicherere Verbindungen

Wenn ein Browser eine HTTPS-Verbindung aufbaut, braucht er normalerweise mehrere DNS-Lookups und Round-Trips, bevor er überhaupt weiß, welche Protokolle der Server unterstützt. Erst A/AAAA-Record abfragen, dann TCP-Verbindung, dann TLS-Handshake, dann Alt-Svc-Header parsen für HTTP/3. Das ist ineffizient und seit November 2023 gibt es mit RFC 9460 eine saubere Lösung dafür: den HTTPS Resource Record. Die großen Browser Hersteller unterstützen das ebenfalls schon, eigentlich mehr aus […]

grumpycat tech stories.

grumpycat tech stories.Jan 6, 2026

DNS in '26 for privacy and speeed

You've reached the end.