Czym jest DNSSEC?
Poznaj uwierzytelnianie odpowiedzi DNS, łańcuch zaufania i ograniczenia tego mechanizmu.
DNSSEC dodaje podpisy cyfrowe do danych DNS, aby resolver walidujący mógł sprawdzić, czy odpowiedź jest autentyczna i nie została zmieniona podczas przesyłania. Przy poprawnym wdrożeniu chroni integralność odpowiedzi DNS. Nie szyfruje zapytań DNS, nie ukrywa aktywności przeglądania i nie zastępuje HTTPS dla strony.
Jak działa walidacja
Podpisana strefa publikuje podpisy i dane DNSKEY. Łańcuch zaufania łączy strefę nadrzędną z podrzędną, zwykle za pomocą rekordu DS w strefie nadrzędnej. Resolver walidujący sprawdza ten łańcuch przed zaakceptowaniem podpisanej odpowiedzi. Jeśli podpisy lub połączenia są błędne, walidacja może się nie powieść, nawet gdy bazowa wartość A lub MX wygląda wiarygodnie.
Dlatego podczas konfiguracji znaczenie mają zarówno rejestrator, jak i dostawca DNS: dostawca DNS podpisuje strefę, a informacje DS po stronie nadrzędnej muszą się zgadzać. Nieaktualny rekord DS po zmianie dostawcy może sprawić, że dla resolverów walidujących domena będzie wyglądać na nieosiągalną.
Czego DNSSEC nie rozwiązuje
DNSSEC uwierzytelnia dane DNS; nie dowodzi, że serwer wskazany w odpowiedzi jest bezpieczny ani że jego treść internetowa jest prawdziwa. Nie zabezpiecza także konta u rejestratora. Certyfikaty HTTPS i szyfrowanie transportowe rozwiązują inne problemy. DNS over HTTPS może szyfrować połączenie z resolverem, ale samo w sobie nie waliduje podpisanego łańcucha DNS.
Niepodpisana domena nie musi być przejęta. Decyzja o włączeniu DNSSEC zależy od wsparcia dostawcy oraz możliwości prawidłowego utrzymywania kluczy i delegacji.
Kontrole praktyczne
Podczas włączania postępuj zgodnie z instrukcjami dostawcy DNS, opublikuj zgodny rekord DS u rejestratora i przetestuj walidację przed wycofaniem starego dostawcy. Po każdej zmianie serwera nazw lub klucza sprawdź, czy DS i DNSKEY nadal są zgodne. Użyj /whois dla widocznego kontekstu DNS, lecz do potwierdzenia łańcucha zaufania wykorzystaj specjalny resolver walidujący lub narzędzie diagnostyczne. Przewodnik po rekordach DNS przedstawia powiązane typy rekordów w kontekście.
Źródła
Wypróbuj sprawdzanie
Sprawdź domenę, aby zobaczyć aktualne dane rejestracyjne i rekordy DNS.
Sprawdź domenę