Che cos'è il DNSSEC e come funziona?

Il DNSSEC aggiunge firme digitali ai dati DNS. Un resolver che esegue la convalida può rilevare una risposta falsificata o una catena di fiducia interrotta. Protegge l'origine e l'integrità dei record, ma non cifra le query DNS né rende automaticamente affidabile un sito web.

Come funziona la catena di fiducia?

L'operatore della zona firma i record con una chiave privata e pubblica record DNSKEY e RRSIG. La zona padre contiene un record DS che la collega alla chiave della zona figlia. Un resolver che esegue la convalida segue la catena da una radice attendibile fino alla risposta. Accetta i dati firmati correttamente e può restituire un errore quando la catena è interrotta. La RFC 4033 descrive lo scopo e i limiti del DNSSEC.

Anche la prova che un record non esiste può essere autenticata, impedendo a un aggressore di sostituire semplicemente una risposta negativa. La maggior parte dei visitatori non vede mai direttamente le firme; il risultato dipende dal fatto che il loro resolver le convalidi. Un interruttore DNSSEC in un pannello di controllo, da solo, non dimostra che DS nella zona padre, chiavi pubblicate e firme coincidano su ogni server autoritativo.

Cosa protegge il DNSSEC e cosa no?

Con la convalida, il DNSSEC rende più difficile modificare le risposte DNS senza che ciò venga rilevato. Non nasconde al resolver il nome richiesto né cifra il traffico verso di esso; DoH e DoT affrontano un diverso problema di privacy del trasporto. Il DNSSEC non sostituisce inoltre un certificato TLS, contenuti onesti del sito, la protezione dell'account presso il registrar né una corretta amministrazione della zona.

Se il proprietario del dominio pubblica un indirizzo errato, il DNSSEC può autenticare fedelmente quell'indirizzo errato. Mantieni corretti i record A, AAAA, MX e gli altri, indipendentemente dalla firma. Durante la diagnosi, usa una ricerca DNS per confrontare le risposte di resolver ordinari e di resolver che eseguono la convalida. Evita di disattivare la convalida per tutti solo per far sembrare funzionante un singolo dominio guasto. Un controllo in più lo offre lo strumento Verifica configurazione dominio di 2IP.

Perché un dominio firmato potrebbe smettere di essere risolto?

Una causa comune è un record DS obsoleto nella zona padre dopo un cambio di provider DNS o di chiavi. Anche firme scadute, server autoritativi incoerenti o un rollover delle chiavi non riuscito possono compromettere la convalida. Esamina la delega, i valori attuali di DNSKEY e DS, i periodi di validità degli RRSIG e la risposta di ciascun server autoritativo. Annota l'errore esatto e l'ora del test prima di modificare le impostazioni.

Prima di migrare una zona firmata, coordina l'aggiornamento del DS con il nuovo operatore e verifica le sue chiavi. Dopo la riparazione, attendi che le risposte positive e negative in cache scadano. Per un dominio usato per la posta o per un'API, prepara una finestra di modifica e un piano di ripristino. Un'automazione affidabile della firma e il monitoraggio valgono più di uno stato “attivo” non verificato in un pannello di controllo.