26 von 26 angezeigt
Algorithmusnummern für DNSKEY und RRSIG mit den Vorgaben aus RFC 9904 für Signieren und Validierung.
| Wert | Kürzel | Beschreibung | Quellen |
|---|---|---|---|
0 | DELETE | DELETE (DNSSEC-Algorithmus 0): Delete DS. Signieren von Zonen: keine Vorgabe; Validierung: keine Vorgabe. | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5 (DNSSEC-Algorithmus 1): RSA/MD5 (DEPRECATED, see 5). Signieren von Zonen: verboten (MUST NOT); Validierung: verboten (MUST NOT). | RFC 3110RFC 4034 |
2 | DH | DH (DNSSEC-Algorithmus 2): Diffie-Hellman. Signieren von Zonen: keine Vorgabe; Validierung: keine Vorgabe. | RFC 2539 |
3 | DSA | DSA (DNSSEC-Algorithmus 3): DSA/SHA1. Signieren von Zonen: verboten (MUST NOT); Validierung: verboten (MUST NOT). | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5Anmerkung | RSASHA1 | RSASHA1 (DNSSEC-Algorithmus 5): RSA/SHA-1. Signieren von Zonen: verboten (MUST NOT); Validierung: empfohlen (RECOMMENDED). | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1 (DNSSEC-Algorithmus 6): DSA-NSEC3-SHA1. Signieren von Zonen: verboten (MUST NOT); Validierung: verboten (MUST NOT). | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1 (DNSSEC-Algorithmus 7): RSASHA1-NSEC3-SHA1. Signieren von Zonen: verboten (MUST NOT); Validierung: empfohlen (RECOMMENDED). | RFC 5155RFC 9905 |
8Anmerkung | RSASHA256 | RSASHA256 (DNSSEC-Algorithmus 8): RSA/SHA-256. Signieren von Zonen: empfohlen (RECOMMENDED); Validierung: empfohlen (RECOMMENDED). | RFC 5702 |
10 | RSASHA512 | RSASHA512 (DNSSEC-Algorithmus 10): RSA/SHA-512. Signieren von Zonen: nicht empfohlen (NOT RECOMMENDED); Validierung: empfohlen (RECOMMENDED). | RFC 5702 |
12 | ECC-GOST | ECC-GOST (DNSSEC-Algorithmus 12): GOST R 34.10-2001 (DEPRECATED). Signieren von Zonen: verboten (MUST NOT); Validierung: verboten (MUST NOT). | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13Anmerkung | ECDSAP256SHA256 | ECDSAP256SHA256 (DNSSEC-Algorithmus 13): ECDSA Curve P-256 with SHA-256. Signieren von Zonen: empfohlen (RECOMMENDED); Validierung: empfohlen (RECOMMENDED). | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384 (DNSSEC-Algorithmus 14): ECDSA Curve P-384 with SHA-384. Signieren von Zonen: optional (MAY); Validierung: empfohlen (RECOMMENDED). | RFC 6605 |
15Anmerkung | ED25519 | ED25519 (DNSSEC-Algorithmus 15): Ed25519. Signieren von Zonen: empfohlen (RECOMMENDED); Validierung: empfohlen (RECOMMENDED). | RFC 8080 |
16 | ED448 | ED448 (DNSSEC-Algorithmus 16): Ed448. Signieren von Zonen: optional (MAY); Validierung: empfohlen (RECOMMENDED). | RFC 8080 |
17 | SM2SM3 | SM2SM3 (DNSSEC-Algorithmus 17): SM2 signing algorithm with SM3 hashing algorithm. Signieren von Zonen: optional (MAY); Validierung: optional (MAY). | RFC 9563 |
18 | MLDSA44 | MLDSA44 (DNSSEC-Algorithmus 18): ML-DSA-44. Signieren von Zonen: optional (MAY); Validierung: optional (MAY). | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12 (DNSSEC-Algorithmus 23): GOST R 34.10-2012. Signieren von Zonen: optional (MAY); Validierung: optional (MAY). | RFC 9558 |
252 | INDIRECT | INDIRECT (DNSSEC-Algorithmus 252): Reserved for Indirect Keys. Signieren von Zonen: keine Vorgabe; Validierung: keine Vorgabe. | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS (DNSSEC-Algorithmus 253): private algorithm. Signieren von Zonen: optional (MAY); Validierung: optional (MAY). | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID (DNSSEC-Algorithmus 254): private algorithm OID. Signieren von Zonen: optional (MAY); Validierung: optional (MAY). | RFC 4034 |
| Bereich | Status | Beschreibung |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
Quelle: DNSSEC algorithm numbers and DS digest types (IANA), abgerufen am 2026-10-20. Datenlizenz: CC0-1.0. DNS Security Algorithm Numbers
DNSSEC-Algorithmus 5, RSA mit SHA-1: MUST NOT zum Signieren, wird aber weiterhin validiert.
Die Vorgaben des Registers stufen RSA/SHA-1 wegen der Schwächen von SHA-1 zum Signieren als MUST NOT ein, während Validatoren den Algorithmus weiter akzeptieren, damit die verbliebenen signierten Zonen nicht ausfallen. Zonen, die noch Algorithmus 5 oder 7 verwenden, sollten per Rollover auf 13 oder 15 wechseln.
DNSSEC-Algorithmus 8, RSA mit SHA-256, nach wie vor der am weitesten verbreitete DNSSEC-Algorithmus.
Viele Top-Level-Domains und die Root-Zone signieren mit Algorithmus 8. Validatoren müssen ihn unterstützen (MUST); für neue Zonen empfiehlt das Register Algorithmus 13 (oder 15), dessen deutlich kleinere Signaturen die Antworten klein halten.
DNSSEC-Algorithmus 13, ECDSA auf P-256: der empfohlene Algorithmus zum Signieren von Zonen.
Algorithmus 13 (RFC 6605) erzeugt 64-Byte-Signaturen und 64-Byte-Schlüssel, weit kleiner als bei RSA, sodass DNSSEC-Antworten unter den Grenzen für Fragmentierung bleiben. Das IANA-Register kennzeichnet ihn zum Signieren als RECOMMENDED und zur Validierung als MUST (RFC 9904 hat diese Vorgaben in das Register verlagert).
DNSSEC-Algorithmus 15, Ed25519 (RFC 8080), empfohlen zum Signieren wie zur Validierung.
Ed25519-Signaturen sind deterministisch, es braucht also keinen Zufall pro Signatur. Die Unterstützung durch Validatoren ist nur langsam gewachsen; deshalb bleibt Algorithmus 13 für neue Zonen die häufigere Wahl.
Digest-Algorithmen für DS-Einträge mit den Vorgaben für Delegierung und Validierung.
| Wert | Hash | Beschreibung | Quellen |
|---|---|---|---|
1 | SHA-1 | DS-Digest-Typ 1 verwendet SHA-1. Delegierung: verboten (MUST NOT); Validierung: empfohlen (RECOMMENDED). | RFC 3658RFC 9905 |
2 | SHA-256 | DS-Digest-Typ 2 verwendet SHA-256. Delegierung: empfohlen (RECOMMENDED); Validierung: empfohlen (RECOMMENDED). | RFC 4509 |
3 | GOST R 34.11-94 | DS-Digest-Typ 3 verwendet GOST R 34.11-94. Delegierung: verboten (MUST NOT); Validierung: verboten (MUST NOT). | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | DS-Digest-Typ 4 verwendet SHA-384. Delegierung: optional (MAY); Validierung: empfohlen (RECOMMENDED). | RFC 6605 |
5 | Streebog-256 | DS-Digest-Typ 5 verwendet Streebog-256. Delegierung: optional (MAY); Validierung: optional (MAY). | RFC 9558 |
6 | SM3 | DS-Digest-Typ 6 verwendet SM3. Delegierung: optional (MAY); Validierung: optional (MAY). | RFC 9563 |
| Bereich | Status | Beschreibung |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
Quelle: DNSSEC algorithm numbers and DS digest types (IANA), abgerufen am 2026-10-20. Datenlizenz: CC0-1.0. Digest Algorithms (DS RR Type Digest Algorithms)