Czym jest DNSSEC i jak działa?

DNSSEC dodaje do danych DNS podpisy cyfrowe. Resolver walidujący może wykryć sfałszowaną odpowiedź lub przerwany łańcuch zaufania. Chroni pochodzenie i integralność rekordów, ale nie szyfruje zapytań DNS ani nie sprawia automatycznie, że strona jest godna zaufania.

Jak działa łańcuch zaufania?

Operator strefy podpisuje rekordy kluczem prywatnym i publikuje rekordy DNSKEY i RRSIG. Strefa nadrzędna przechowuje rekord DS, który łączy ją z kluczem strefy podrzędnej. Resolver walidujący podąża za łańcuchem od zaufanego korzenia aż do odpowiedzi. Akceptuje poprawnie podpisane dane i może zwrócić błąd, gdy łańcuch jest przerwany. Cel i ograniczenia DNSSEC opisuje RFC 4033.

Dowód, że rekord nie istnieje, również może być uwierzytelniony, co uniemożliwia atakującemu zwykłe podmienienie odpowiedzi negatywnej. Większość odwiedzających nigdy nie widzi podpisów bezpośrednio; wynik zależy od tego, czy ich resolver je waliduje. Sam przełącznik DNSSEC w panelu sterowania nie dowodzi, że DS w strefie nadrzędnej, opublikowane klucze i podpisy są zgodne na każdym serwerze autorytatywnym.

Przed czym DNSSEC chroni, a przed czym nie?

Przy włączonej walidacji DNSSEC utrudnia niezauważoną modyfikację odpowiedzi DNS. Nie ukrywa zapytanej nazwy przed resolverem ani nie szyfruje ruchu do niego; DoH i DoT rozwiązują inny problem – prywatność transportu. DNSSEC nie zastępuje też certyfikatu TLS, rzetelnej treści strony, ochrony konta u rejestratora ani starannego administrowania strefą.

Jeśli właściciel domeny opublikuje błędny adres, DNSSEC może wiernie uwierzytelnić ten błędny adres. Utrzymuj poprawne rekordy A, AAAA, MX i inne niezależnie od podpisywania. Podczas diagnozy użyj narzędzia „Znajdź adres IP i serwer poczty”, aby porównać odpowiedzi zwykłych i walidujących resolverów. Nie wyłączaj walidacji wszystkim tylko po to, by jedna uszkodzona domena wyglądała na działającą. Rekordy domeny przejrzysz też w narzędziu 2IP „Sprawdź konfigurację domeny”.

Dlaczego podpisana domena może przestać być rozwiązywana?

Częstą przyczyną jest nieaktualny rekord DS w strefie nadrzędnej po zmianie dostawcy DNS lub kluczy. Walidację mogą też zepsuć wygasłe podpisy, niespójne serwery autorytatywne lub nieudana wymiana kluczy (rollover). Sprawdź delegację, bieżące wartości DNSKEY i DS, okresy ważności RRSIG oraz odpowiedź każdego serwera autorytatywnego. Zanim zmienisz ustawienia, zanotuj dokładny błąd i czas testu.

Przed migracją podpisanej strefy uzgodnij aktualizację DS z nowym operatorem i zweryfikuj jego klucze. Po naprawie poczekaj, aż wygasną odpowiedzi pozytywne i negatywne w pamięci podręcznej. Dla domeny używanej przez pocztę lub API przygotuj okno zmian i ścieżkę wycofania. Niezawodna automatyzacja podpisywania i monitorowanie są cenniejsze niż niesprawdzony status „włączone” w panelu.