Mit GOST (Algorithmus 12) und ECDSA (Algorithmen 13 und 14) lässt DENIC ab sofort drei zusätzliche Algorithmen bei den für DNSSEC-Domains übergebenen Schlüsseln zu. Damit werden die bisher unterstützten Public-Key-Algorithmen – DSA/SHA1 (3), RSA/SHA-1 (5), DSA-NSEC3-SHA1 (6), RSASHA1-NSEC3-SHA1 (7), RSA/SHA-256 (8), RSA/SHA-512 (10) – erstmals um kryptographische Algorithmen ergänzt, die auf elliptischen Kurven (ECC) beruhen. DENIC unterstützt damit erneut alle durch die IETF (Internet Engineering Task Force) spezifizierten und nicht als veraltet gekennzeichneten Signaturverfahren.

Der große Vorteil elliptischer Kurven liegt in deutlich höherer kryptographischer Widerstandskraft bei gleicher Schlüssellänge im Vergleich zu RSA, was sich in der Praxis dann in der Verwendung deutlich kürzerer Schlüssel und Signaturen niederschlägt. Während für RSA in der Regel 1024 Bit- und 2048 Bit-lange Schlüssel und Signaturen eingesetzt werden, kommen die ECDSA-Verfahren mit 256 bzw. 384 Bit aus. Für die DNSKEY- und RRSIG-Records ergeben sich damit in etwa diese Größen in Bytes:

                  1024 RSA       2048 RSA        ECDSA256    ECDSA384
DNSKEY            148                276                 80                112
RRSIG               172                300                 95                125

Interessant sind kürzere DNS-(Antwort-)Pakete in erster Linie aber nicht wegen der eingesparten Bandbreite, sondern wegen des geringeren Potenzials für DNS-Amplification-Angriffe, vor allem aber wegen der Vermeidung von Paketfragmentierung. Dies wiederum beugt Antwortverlusten durch (zu) starke Filterung vor.

Bei der Hinterlegung von Schlüsselmaterial prüft DENIC im Rahmen der so genannten Predelegation Checks neben den Antworten der Nameserver auch die erfolgreiche DNSSEC-Validierung. Dies entspricht einerseits der guten Praxis von Zertifizierungsstellen ("Proof of Possession") und vermeidet andererseits Fehler, die zur Unerreichbarkeit der Domain führen könnten. Zum Zwecke dieser Validierung hat die DENIC eG ihre Software um die neuen Verfahren erweitert und die dabei eingesetzten Open-Source-Bibliotheken um entsprechende Funktionen ergänzt. Diese sind als NAST-Version 1.6.0.2 veröffentlicht.

Hintergrund

Sicherheitstechnologien wie DNSSEC, die in der IETF entwickelt und spezifiziert werden, besitzen eine Eigenschaft, die "Algorithmen-Agilität" genannt wird. Dadurch ist es möglich, auf technische und kryptographische Entwicklungen zu reagieren, ohne das eigentliche Protokoll – in diesem Fall DNSSEC – antasten zu müssen, und auch verschiedene Sicherheitsanforderungen mit eben demselben Protokoll umsetzen zu können.

Für DNSSEC wie für andere Techniken hat sich das RSA-Verfahren als das dominierende Public-Key-Verfahren etabliert – wegen seiner Verbreitung, seiner Eigenschaften und auch wegen kaum vorhandener, mehr versprechender Alternativen.

Seit Längerem existiert nun ein Trend hin zu einer neuen Public-Key-Technik, die auf elliptischen Kurven beruht (ECC). In der IETF sind neben verschiedenen Varianten von RSA (genauer: RSA mit unterschiedlichen Hashverfahren) bislang drei Lösungen auf Basis elliptischer Kurven spezifiziert worden:

      GOST R 34.10-2001  mit GOST R 34.11-94    (12) (RFC 5933)
      ECDSA auf Kurve P-256 mit SHA-256            (13) (RFC 6605)
      ECDSA auf Kurve P-384 mit SHA-384            (14) (RFC 6605)

Auch für diese drei Verfahren ist ab sofort die Registrierung von Schlüsselmaterial für mit DNSSEC gesicherte .de-Domains möglich. Damit werden nun wieder alle von der IETF spezifizierten und nicht als veraltet gekennzeichneten Signaturverfahren unterstützt.

Die Validierung von Signaturen mit ECC ist allerdings deutlich aufwendiger als beim RSA-Verfahren: Validierende Resolver werden damit stärker belastet. Auch gibt es Untersuchungen, die zeigen, dass ECC noch nicht durchgehend von allen validierenden Resolvern unterstützt wird.  Für ein solches System erschiene eine (ausschließlich) mit ECC signierte wie eine unsignierte Domain. Die Verbreitung ECC-fähiger validierender Resolver ist aber tendenziell steigend.

Auch ist hinsichtlich der technischen Details der zur Verfügung stehenden Kurven noch Bewegung zu erwarten. So wird derzeit im Rahmen der IETF und der IRTF (als "Internet Research Task Force" die akademische Schwester der IETF) unter anderem die "Curve 25519"  bzw. das darauf aufbauende Signaturverfahren „Ed25519“ untersucht. Ein Standardisierungsvorschlag liegt auch für die Nutzung der „Brainpool“-Kurven vor.

Aus diesen Gründen wird DENIC für eigene Zonen, also insbesondere die .de-Zone, bis auf Weiteres beim bewährten RSA-Verfahren bleiben.