DNSSEC என்றால் என்ன, அது எப்படி வேலை செய்கிறது?

DNSSEC, DNS தரவுடன் டிஜிட்டல் கையொப்பங்களைச் சேர்க்கிறது. சரிபார்க்கும் ரிசால்வர், போலியான பதிலையோ உடைந்த நம்பிக்கைச் சங்கிலியையோ கண்டுபிடிக்க முடியும். இது பதிவுகளின் மூலத்தையும் ஒருமைப்பாட்டையும் பாதுகாக்கிறது; ஆனால் DNS கேள்விகளைக் குறியாக்கம் செய்வதில்லை, ஓர் இணையதளத்தைத் தானாக நம்பகமானதாக்குவதும் இல்லை.

நம்பிக்கைச் சங்கிலி எப்படி வேலை செய்கிறது?

சோனை இயக்குபவர் தனிப்பட்ட விசையால் பதிவுகளில் கையொப்பமிட்டு, DNSKEY, RRSIG பதிவுகளை வெளியிடுகிறார். தாய் சோனில் உள்ள DS பதிவு, அதைச் சேய் சோனின் விசையுடன் இணைக்கிறது. சரிபார்க்கும் ரிசால்வர், நம்பகமான ரூட்டிலிருந்து பதில் வரை இந்தச் சங்கிலியைப் பின்தொடர்கிறது. சரியாகக் கையொப்பமிடப்பட்ட தரவை அது ஏற்றுக்கொள்கிறது; சங்கிலி உடைந்திருந்தால் பிழையைத் தரக்கூடும். DNSSEC-இன் நோக்கத்தையும் வரம்புகளையும் RFC 4033 விவரிக்கிறது.

ஒரு பதிவு இல்லை என்பதற்கான சான்றையும் உறுதிப்படுத்த முடியும்; இதனால் தாக்குபவர் எதிர்மறைப் பதிலை எளிதாக மாற்றிவிட முடியாது. பெரும்பாலான பார்வையாளர்கள் கையொப்பங்களை நேரடியாகப் பார்ப்பதே இல்லை; முடிவு, அவர்களின் ரிசால்வர் அவற்றைச் சரிபார்க்கிறதா என்பதைப் பொறுத்தது. கட்டுப்பாட்டுப் பேனலில் DNSSEC இயக்கப்பட்டிருக்கிறது என்பதால் மட்டும், தாய் சோனின் DS, வெளியிடப்பட்ட விசைகள், கையொப்பங்கள் ஆகியவை எல்லா அதிகாரப்பூர்வ சர்வர்களிலும் பொருந்துகின்றன என்று சொல்ல முடியாது.

DNSSEC எதைப் பாதுகாக்கிறது, எதைப் பாதுகாப்பதில்லை?

சரிபார்ப்பு இருக்கும்போது, DNS பதில்களை யாருக்கும் தெரியாமல் மாற்றுவதை DNSSEC கடினமாக்குகிறது. கேட்கப்படும் பெயரை ரிசால்வரிடமிருந்து அது மறைப்பதில்லை, ரிசால்வருக்குச் செல்லும் போக்குவரத்தைக் குறியாக்கம் செய்வதும் இல்லை; போக்குவரத்துத் தனியுரிமை என்ற வேறு சிக்கலை DoH, DoT தீர்க்கின்றன. TLS சான்றிதழ், நேர்மையான இணையதள உள்ளடக்கம், பதிவாளர் கணக்குப் பாதுகாப்பு, ஒழுங்கான சோன் நிர்வாகம் ஆகியவற்றுக்கும் DNSSEC மாற்றாகாது.

டொமைன் உரிமையாளர் தவறான முகவரியை வெளியிட்டால், அந்தத் தவறான முகவரியையும் DNSSEC அப்படியே உறுதிப்படுத்திவிடும். கையொப்பம் இருந்தாலும் இல்லாவிட்டாலும், A, AAAA, MX போன்ற பதிவுகளைச் சரியாகப் பராமரியுங்கள். சிக்கலை ஆராயும்போது, சாதாரண ரிசால்வர், சரிபார்க்கும் ரிசால்வர் ஆகியவற்றின் பதில்களை ஒப்பிட IP முகவரி மற்றும் அஞ்சல் சர்வர் தேடல் கருவியைப் பயன்படுத்துங்கள். உடைந்த ஒரு டொமைன் இயங்குவதுபோலத் தெரிய வேண்டும் என்பதற்காக எல்லோருக்கும் சரிபார்ப்பை முடக்காதீர்கள். கூடுதல் சரிபார்ப்புக்கு 2IP டொமைன் உள்ளமைவுச் சரிபார்ப்பு கருவியைப் பயன்படுத்துங்கள்.

கையொப்பமிட்ட டொமைன் ஏன் தீர்க்கப்படாமல் போகலாம்?

DNS வழங்குநரையோ விசைகளையோ மாற்றிய பிறகு தாய் சோனில் பழைய DS பதிவு தங்கிவிடுவது பொதுவான காரணம். காலாவதியான கையொப்பங்கள், ஒத்துப்போகாத அதிகாரப்பூர்வ சர்வர்கள், தோல்வியடைந்த விசை மாற்றம் (key rollover) ஆகியவையும் சரிபார்ப்பை உடைக்கலாம். ஒப்படைப்பு, தற்போதைய DNSKEY, DS மதிப்புகள், RRSIG செல்லுபடி நேரங்கள், ஒவ்வொரு அதிகாரப்பூர்வ சர்வரின் பதில் ஆகியவற்றை ஆராயுங்கள். அமைப்புகளை மாற்றுவதற்கு முன், சரியான பிழையையும் சோதித்த நேரத்தையும் குறித்துவையுங்கள்.

கையொப்பமிட்ட சோனை இடமாற்றுவதற்கு முன், புதிய இயக்குநருடன் ஒருங்கிணைந்து DS புதுப்பிப்பைத் திட்டமிட்டு, அவரது விசைகளைச் சரிபாருங்கள். சரிசெய்த பிறகு, கேஷில் உள்ள நேர்மறை, எதிர்மறைப் பதில்கள் காலாவதியாக நேரம் கொடுங்கள். அஞ்சலோ API-யோ பயன்படுத்தும் டொமைனுக்கு, மாற்றத்துக்கான நேரத்தையும் திரும்பப் பெறும் வழியையும் முன்கூட்டியே தயார்செய்யுங்கள். டாஷ்போர்டில் யாரும் சரிபார்க்காத “இயக்கப்பட்டது” நிலையைவிட, நம்பகமான கையொப்பத் தானியக்கமும் கண்காணிப்புமே அதிக மதிப்புள்ளவை.