Apa itu DNSSEC dan bagaimana ia berfungsi?

DNSSEC menambah tandatangan digital pada data DNS. Penyelesai yang melakukan pengesahan dapat mengesan respons palsu atau rantaian kepercayaan yang terputus. DNSSEC melindungi asal usul dan integriti rekod, tetapi tidak menyulitkan pertanyaan DNS dan tidak secara automatik menjadikan sesebuah laman web boleh dipercayai.

Bagaimana rantaian kepercayaan berfungsi?

Pengendali zon menandatangani rekod dengan kunci peribadi dan menerbitkan rekod DNSKEY serta RRSIG. Zon induk menyimpan rekod DS yang menghubungkannya dengan kunci zon anak. Penyelesai yang melakukan pengesahan mengikut rantaian ini daripada akar yang dipercayai hinggalah ke jawapan. Data yang ditandatangani dengan betul akan diterima, dan ralat boleh dipulangkan jika rantaian terputus. RFC 4033 menerangkan tujuan dan batasan DNSSEC.

Bukti bahawa sesuatu rekod tidak wujud juga boleh disahkan, jadi penyerang tidak boleh sewenang-wenangnya menggantikan jawapan negatif. Kebanyakan pelawat tidak pernah melihat tandatangan secara langsung; hasilnya bergantung pada sama ada penyelesai mereka mengesahkannya. Suis DNSSEC dalam panel kawalan semata-mata tidak membuktikan bahawa DS dalam zon induk, kunci yang diterbitkan dan tandatangan sepadan pada setiap pelayan autoritatif.

Apa yang dilindungi DNSSEC dan apa yang tidak?

Dengan pengesahan, DNSSEC menyukarkan pengubahsuaian jawapan DNS tanpa dikesan. Ia tidak menyembunyikan nama yang ditanya daripada penyelesai dan tidak menyulitkan trafik kepadanya; DoH dan DoT menangani masalah privasi pengangkutan yang lain. DNSSEC juga bukan pengganti sijil TLS, kandungan laman yang jujur, perlindungan akaun pendaftar atau pentadbiran zon yang baik.

Jika pemilik domain menerbitkan alamat yang salah, DNSSEC akan mengesahkan alamat salah itu dengan setia. Pastikan rekod A, AAAA, MX dan rekod lain betul, sama ada zon ditandatangani atau tidak. Ketika menyelesaikan masalah, gunakan carian alamat IP dan pelayan e-mel 2IP untuk membandingkan respons daripada penyelesai biasa dengan penyelesai yang melakukan pengesahan. Jangan matikan pengesahan untuk semua orang semata-mata supaya satu domain yang rosak kelihatan berfungsi. Untuk semakan lanjut, gunakan semakan konfigurasi domain 2IP.

Mengapa domain yang ditandatangani boleh berhenti diselesaikan?

Punca yang lazim ialah rekod DS lapuk dalam zon induk selepas menukar penyedia DNS atau kunci. Tandatangan yang tamat tempoh, pelayan autoritatif yang tidak konsisten atau penggantian kunci yang gagal juga boleh menggagalkan pengesahan. Periksa delegasi, nilai DNSKEY dan DS semasa, tempoh sah RRSIG serta jawapan daripada setiap pelayan autoritatif. Catat ralat yang tepat dan masa ujian sebelum mengubah tetapan.

Sebelum memindahkan zon yang ditandatangani, selaraskan kemas kini DS dengan pengendali baharu dan sahkan kuncinya. Selepas pembaikan, beri masa untuk jawapan positif dan negatif dalam cache tamat tempoh. Bagi domain yang digunakan untuk e-mel atau API, sediakan tetingkap perubahan dan laluan untuk berpatah balik. Automasi tandatangan dan pemantauan yang boleh diharap lebih bernilai daripada status “diaktifkan” dalam papan pemuka yang tidak pernah disemak.