SIG Resource Record
# SIG Resource Record

Mit SIG Resource Record bzw. Signature Resource Record können im Rahmen von DNSSEC (DNS Security) beliebige Resource Records digital unterschrieben werden. Der SIG-Typ ist nicht mehr im Gebrauch und wurde 2004 durch den nahezu identischen RRSIG Resource Record ersetzt.

## Hintergrund

Ein Benutzer, der auf einen DNS-Request eine Antwort erhält (z. B. eine IP-Adresse), kann nicht sicher sein, dass die Antwort auch wirklich von einem regulären Nameserver stammt und dass sie nicht auf dem Transportweg verfälscht wurde. Die Lösung ist, Resource Records digital zu unterschreiben.

Eine Digitale Unterschrift setzt ein Public-Key-Verfahren voraus. Der Nameserver, der als Master für einen DNS-Eintrag autoritativ ist, unterschreibt diesen mit seinem Privaten Schlüssel. Resolver können die digitale Unterschrift jederzeit verifizieren, sofern sie den öffentlichen Schlüssel des Nameservers kennen.

## Aufbau

Ein SIG Resource Record besteht aus den folgenden Feldern:

### Name

    des digital unterschriebenen RRs

### Aktuelle TTL

    gibt an, wie lange dieser Eintrag im Cache gehalten werden darf

### Class

    immer IN

### Typ

    des unterschriebenen RR – z. B. A, NS, SOA

### Verschlüsselungsalgorithmus

    1=MD5
    2=Diffie-Hellman
    3=DSA

### Anzahl der Namenskomponenten

    zur Wildcard-Auflösung siehe RFC 2535

### TTL

    zum Zeitpunkt der Unterschrift

### Anfangszeitpunkt

    ab der die Unterschrift gültig ist

### Endzeitpunkt

    bis zu dem die Unterschrift gültig ist

### eindeutige Nummer

    um zwischen mehreren Signaturen zu unterscheiden

## Beispiel

In diesem Beispiel wird ein A-RR digital unterschrieben:

