Analityczne wykorzystywanie plików cookies
Techniczny poradnik DNS
DNSSEC dla domen firmowych: DS, KSK, ZSK i chain of trust
DNSSEC chroni integralność odpowiedzi DNS: resolver może sprawdzić, czy rekordy domeny zostały podpisane właściwym kluczem i czy łańcuch zaufania prowadzi od strefy nadrzędnej do domeny. To nie jest filtr zagrożeń ani zamiennik secdns.pl by DataHouse.
Co dokładnie robi DNSSEC?
DNSSEC dodaje kryptograficzne podpisy do strefy DNS. Dzięki temu resolver walidujący może wykryć podmianę odpowiedzi, brak podpisu lub przerwany łańcuch zaufania między domeną, rejestrem i strefą root.
KSK, ZSK i DS
ZSK zwykle podpisuje rekordy w strefie, KSK podpisuje zestaw kluczy DNSKEY, a rekord DS opublikowany u rejestratora łączy domenę ze strefą nadrzędną. Błąd DS potrafi unieruchomić domenę dla resolverów walidujących.
Kiedy DNSSEC ma sens?
DNSSEC ma szczególne znaczenie dla domen firmowych, poczty, paneli logowania, API, e-commerce i systemów, w których podmiana odpowiedzi DNS może prowadzić do przejęcia ruchu lub utraty zaufania.
DNSSEC a secdns.pl
DNSSEC sprawdza autentyczność danych DNS. secdns.pl by DataHouse filtruje i monitoruje zapytania DNS pod kątem zagrożeń. Te mechanizmy mogą się uzupełniać, ale rozwiązują inne problemy.
Kolejność wdrożenia DNSSEC
- Sprawdzić, gdzie faktycznie utrzymywana jest strefa DNS i kto może zmienić DS u rejestratora.
- Wygenerować lub włączyć klucze DNSSEC dla strefy: ZSK do podpisów rekordów oraz KSK do zestawu DNSKEY.
- Opublikować podpisane rekordy DNSKEY, RRSIG, NSEC lub NSEC3 i sprawdzić odpowiedzi z autorytatywnych serwerów DNS.
- Dodać poprawny rekord DS u rejestratora domeny: właściwy key tag, algorytm, digest type i digest.
- Przed zmianą i po zmianie sprawdzić delegację, serial, SOA, NS, glue, DS, DNSKEY, walidację i działanie MX/WWW.
Typowe błędy DNSSEC
DNSSEC jest wrażliwy na kolejność zmian. Najgroźniejsze błędy zwykle dotyczą rekordu DS, synchronizacji autorytatywnych serwerów DNS i rotacji kluczy.
| Błąd | Na czym polega | Ryzyko |
|---|---|---|
| Niepoprawny DS | DS u rejestratora nie pasuje do aktualnego KSK w strefie DNS. | Domena może przestać działać dla resolverów walidujących, mimo że autorytatywny DNS odpowiada. |
| Brak synchronizacji NS | Część serwerów autorytatywnych ma inną wersję strefy, inny serial lub niepełne podpisy. | Użytkownicy widzą losowe błędy, zależnie od tego, który serwer DNS obsłuży zapytanie. |
| Wygasłe podpisy RRSIG | Strefa jest podpisana, ale podpisy nie zostały odnowione na czas. | Walidacja DNSSEC zaczyna zwracać błąd, a usługi WWW i poczta mogą wyglądać jak niedostępne. |
| Zła rotacja kluczy | KSK lub ZSK zmieniono bez właściwego okresu publikacji i wycofania. | Łańcuch zaufania pęka, szczególnie gdy DS lub DNSKEY nie są widoczne w odpowiednim czasie. |
| Mylenie z filtrowaniem DNS | DNSSEC nie blokuje phishingu, malware ani domen C2. | Do filtrowania zapytań służy secdns.pl by DataHouse, a DNSSEC odpowiada za autentyczność danych DNS. |
Na czym polegaDS u rejestratora nie pasuje do aktualnego KSK w strefie DNS.
RyzykoDomena może przestać działać dla resolverów walidujących, mimo że autorytatywny DNS odpowiada.
Na czym polegaCzęść serwerów autorytatywnych ma inną wersję strefy, inny serial lub niepełne podpisy.
RyzykoUżytkownicy widzą losowe błędy, zależnie od tego, który serwer DNS obsłuży zapytanie.
Na czym polegaStrefa jest podpisana, ale podpisy nie zostały odnowione na czas.
RyzykoWalidacja DNSSEC zaczyna zwracać błąd, a usługi WWW i poczta mogą wyglądać jak niedostępne.
Na czym polegaKSK lub ZSK zmieniono bez właściwego okresu publikacji i wycofania.
RyzykoŁańcuch zaufania pęka, szczególnie gdy DS lub DNSKEY nie są widoczne w odpowiednim czasie.
Na czym polegaDNSSEC nie blokuje phishingu, malware ani domen C2.
RyzykoDo filtrowania zapytań służy secdns.pl by DataHouse, a DNSSEC odpowiada za autentyczność danych DNS.
Diagnostyka DNS
Powiązane tematy DNS
Najczęstsze pytania
Czy DNSSEC chroni przed phishingiem i malware?
Nie. DNSSEC sprawdza autentyczność odpowiedzi DNS i integralność danych w strefie. Filtrowanie phishingu, malware lub C2 wykonuje osobny bezpieczny DNS, na przykład secdns.pl by DataHouse.
Co najczęściej psuje DNSSEC?
Najczęstsze problemy to błędny rekord DS u rejestratora, brak synchronizacji autorytatywnych DNS, wygasłe podpisy RRSIG albo niepoprawna rotacja KSK/ZSK.
Czy DNSSEC można włączyć bez zmiany hostingu?
Tak, jeżeli obecny dostawca DNS obsługuje podpisywanie strefy, a rejestrator pozwala dodać rekord DS. Trzeba sprawdzić, gdzie realnie utrzymywana jest strefa DNS i kto zarządza delegacją.
Co sprawdzić po wdrożeniu DNSSEC?
Należy sprawdzić DS, DNSKEY, RRSIG, SOA, NS, glue, serial strefy, walidację z resolvera walidującego oraz działanie WWW, MX, SPF, DKIM i DMARC.