Skip to content

Standard Reader

Tag

Dnssec

Articles and publications tagged Dnssec across the Atmosphere.

16articles1publication

Articles

Publications

-=Kernel-Error=-Sep 23, 2026

Keyoxide: der fünfte Claim scheiterte an der Position im Profil, nicht am Beweis

Der fünfte Keyoxide-Claim, der Beweis für den Fediverse-Actor dieses Blogs, scheiterte im August trotz korrektem Beweis. Die Ursache lag in einer Reihenfolge-Abhängigkeit zwischen zwei fremden Projekten, gefunden im Quellcode von doipjs und dem ActivityPub-Plugin, jetzt behoben.

@kernel-error.de@www.kernel-error.deDNSSEC

-=Kernel-Error=-Sep 12, 2026

Keyoxide: die Linux-App ist im Flathub, dazu ein Android-Update

Der Keyoxide-Beitrag von August bekommt einen kurzen Nachtrag: die Linux-App liegt jetzt im Flathub, die Android-App wurde aktualisiert, und für Fragen gibt es einen eigenen Matrix-Kanal. Dazu der Faktencheck, ob der QR-Code in der App wirklich auf die richtige Datei zeigt.

DNSSECEncryption

-=Kernel-Error=-Aug 17, 2026

ECH aktivieren: Encrypted Client Hello in nginx mit OpenSSL 4.0, sechs Domains und ein gemeinsamer Deckname

Der Servername im TLS-Handshake bleibt für jeden Netzwerkbeobachter sichtbar, selbst wenn DNS-Anfragen längst verschlüsselt laufen. Mit OpenSSL 4.0 und einem gemeinsamen Deckname über mehrere unabhängige Domains hinweg lässt sich das schließen, wenn eine Entscheidung nicht falsch getroffen wird: der öffentliche Name.

-=Kernel-Error=-Aug 2, 2026

Keyoxide: den OpenPGP-Schlüssel an Online-Identitäten binden, vier grüne Haken und ein rotes Kreuz

Ein neuer GPG-Schlüssel wirft die Frage auf, woher irgendwer wissen soll, dass er mir gehört. Das Web of Trust ist tot, Identity Claims füllen die Lücke: Claims in der Selbstsignatur, Proofs an DNS, GitHub und Matrix. Mit vier grünen Haken, einem roten Kreuz und einem CORS-Bug.

DNSSECEncryption

-=Kernel-Error=-May 25, 2026

SSH Host Keys per SSHFP im DNS veröffentlichen

SSH-Host-Keys nicht mehr per Trust-on-First-Use pruefen, sondern aus dem DNS lesen: SSHFP-Records nach RFC 4255 erzeugen, in die Zone eintragen, VerifyHostKeyDNS aktivieren. Plus die DNSSEC-Pflichtkomponente und was zu beachten ist bei alten OpenSSH-Versionen.

-=Kernel-Error=-May 25, 2026

OPENPGPKEY: GPG-Schlüssel direkt im DNS veröffentlichen

GPG-Schluessel direkt als OPENPGPKEY-Record im DNS hinterlegen, ohne Keyserver-Abhaengigkeit oder Web-of-Trust. RFC 7929 erklaert, die SHA-256-Hash-Variante des Local-Part, ein Generator fuer den Record und warum DNSSEC die Voraussetzung ist. Plus Hinweis zur Recordgroesse.

-=Kernel-Error=-May 25, 2026

IP Reverse Map Delegation: Einrichtung und Fehlerbehebung

Wer eine kleinere IP-Range als /24 hat (typisch beim Reseller mit /28 oder /29), kann keine eigene PTR-Zone betreiben. RFC 2317 loest das per CNAME-Delegation im /24 des Providers. Praxis-Walkthrough mit BIND-Zonenfiles auf beiden Seiten und der Standard-Stolperstein bei der Sub-Range-Notation.

-=Kernel-Error=-May 25, 2026

Postfix mit DANE und DNSSEC absichern

Postfix-MTA mit DANE absichern: TLSA-Records nach RFC 7672, smtp_tls_security_level=dane, die "3 1 1"-Selector-Variante als langlebige Wahl, der DNSSEC-Stack als Grundvoraussetzung und Tools fuer die Pruefung. Plus eine Kurz-Erklaerung zu Untrusted vs Verified im Postfix-Log.

-=Kernel-Error=-May 25, 2026

TLSA- und DANE-Records manuell prüfen: Schritt für Schritt mit OpenSSL

TLSA- und DANE-Records manuell pruefen mit OpenSSL, dig und hash-slinger. Fingerprint-Berechnung fuer Selector 0/1 und Matching-Type 0/1/2 durchgespielt. Nuetzlich wenn ein TLSA-Record nicht validiert und man wissen will warum.

-=Kernel-Error=-May 24, 2026

DNSSEC und DANE: TLS-Zertifikate mit TLSA-Records absichern

DANE und TLSA-Records ermoeglichen TLS-Zertifikat-Schutz via DNSSEC, nicht ueber CA-Zertifikatsketten. Praktische OpenSSL-Befehle zum Hash erzeugen, dig zum Pruefen. Bei mir im Einsatz, funktioniert elegant.

-=Kernel-Error=-May 24, 2026

DNSSEC einrichten: Zonen signieren mit BIND

DNSSEC-Anleitung: Trust-Chains, Zonen-Signierung mit BIND und dnssec-policy, DS-Records beim Registrar, Validierung mit dig. Warnung: TTL-Konflikte bei Aenderungen. Mit moderner BIND-Version (9.16+) gut zu handhaben.

-=Kernel-Error=-May 24, 2026

DNSSEC und SSHFP unter Linux Mint und Ubuntu zum Laufen bringen

SSH sollte Hostkeys via DNSSEC-gesicherten SSHFP-Records verifizieren. Fehler: systemd-resolved filterte das AD-Flag raus. Loesung: systemd-resolved weg, NetworkManager mit trust-ad Option. Jetzt funktioniert DNSSEC korrekt.

-=Kernel-Error=-May 24, 2026

S/MIME-Zertifikat per DNS veröffentlichen – SMIMEA

S/MIME-Zertifikate per DNS (SMIMEA, RFC 8162) veroeffentlichen. Schrieb zwei Python-Skripte dafuer: Generierung und Lookup mit OpenSSL-Integration. Bugs in bestehenden Tools gefunden: TYPE53, fehlende SHA256-Hashes. Jetzt automatisiert.

-=Kernel-Error=-May 24, 2026

MTA-STS einrichten: Transportverschlüsselung für E-Mail erzwingen

MTA-STS (RFC 8461) zwingt Mailserver zu verschluesselter Uebertragung. Konfiguration: DNS TXT-Record, Policy-Hosting, optionale TLS-Reports. Start im testing-Modus, dann auf enforce schalten. Pragmatischer als DANE.

-=Kernel-Error=-May 24, 2026

HTTPS RR und SVCB: Moderne DNS-Records für schnellere und sicherere Verbindungen

Wenn ein Browser eine HTTPS-Verbindung aufbaut, braucht er normalerweise mehrere DNS-Lookups und Round-Trips, bevor er überhaupt weiß, welche Protokolle der Server unterstützt. Erst A/AAAA-Record abfragen, dann TCP-Verbindung, dann TLS-Handshake, dann Alt-Svc-Header parsen für HTTP/3. Das ist ineffizient und seit November 2023 gibt es mit RFC 9460 eine saubere Lösung dafür: den HTTPS Resource Record. Die großen Browser Hersteller unterstützen das ebenfalls schon, eigentlich mehr aus […]

grumpycat tech stories.

grumpycat tech stories.Jan 6, 2026

DNS in '26 for privacy and speeed

You've reached the end.