DNSSEC nedir ve nasıl çalışır?

DNSSEC, DNS verilerine dijital imzalar ekler. Doğrulama yapan bir çözümleyici sahte bir yanıtı veya bozuk bir güven zincirini tespit edebilir. Kayıtların kaynağını ve bütünlüğünü korur; ama DNS sorgularını şifrelemez ve bir web sitesini kendiliğinden güvenilir kılmaz.

Güven zinciri nasıl çalışır?

Bölge işletmecisi kayıtları özel bir anahtarla imzalar ve DNSKEY ile RRSIG kayıtlarını yayımlar. Üst bölge, onu alt bölgenin anahtarına bağlayan bir DS kaydı tutar. Doğrulama yapan bir çözümleyici, güvenilir bir kökten yanıta kadar zinciri izler. Doğru imzalanmış verileri kabul eder, zincir bozulduğunda ise hata döndürebilir. DNSSEC'in amacını ve sınırlarını RFC 4033 açıklar.

Bir kaydın var olmadığının kanıtı da doğrulanabilir; bu, bir saldırganın olumsuz bir yanıtı kolayca değiştirmesini önler. Ziyaretçilerin çoğu imzaları hiçbir zaman doğrudan görmez; sonuç, çözümleyicilerinin bunları doğrulayıp doğrulamadığına bağlıdır. Kontrol panelinde DNSSEC anahtarının görünmesi, üst bölgedeki DS kaydının, yayımlanan anahtarların ve imzaların her yetkili sunucuda birbiriyle eşleştiğini tek başına kanıtlamaz.

DNSSEC neyi korur, neyi korumaz?

Doğrulama yapıldığında DNSSEC, DNS yanıtlarının fark edilmeden değiştirilmesini zorlaştırır. Sorgulanan adı çözümleyiciden gizlemez veya ona giden trafiği şifrelemez; DoH ve DoT farklı bir aktarım gizliliği sorununu ele alır. DNSSEC; TLS sertifikasının, dürüst web sitesi içeriğinin, kayıt şirketi hesabının korunmasının veya sağlıklı bölge yönetiminin yerini de tutmaz.

Alan adı sahibi yanlış bir adres yayımlarsa DNSSEC bu yanlış adresi de aslına sadık şekilde doğrulayabilir. İmzalamadan bağımsız olarak A, AAAA, MX ve diğer kayıtları doğru tutun. Sorun giderirken sıradan ve doğrulama yapan çözümleyicilerin yanıtlarını karşılaştırmak için DNS sorgusu yapın. Bozuk bir alan adı çalışıyormuş gibi görünsün diye doğrulamayı herkes için kapatmayın. Bölgenin kayıtlarını 2IP alan adı yapılandırma kontrolüyle de inceleyebilirsiniz.

İmzalı bir alan adı neden çözümlenmeyi durdurabilir?

Yaygın bir neden, DNS sağlayıcısı veya anahtarlar değiştirildikten sonra üst bölgede eskimiş bir DS kaydının kalmasıdır. Süresi dolmuş imzalar, tutarsız yetkili sunucular veya başarısız bir anahtar değişimi de doğrulamayı bozabilir. Yetki devrini, güncel DNSKEY ve DS değerlerini, RRSIG geçerlilik sürelerini ve her yetkili sunucudan gelen yanıtı inceleyin. Ayarları değiştirmeden önce tam hatayı ve test zamanını kaydedin.

İmzalı bir bölgeyi taşımadan önce DS güncellemesini yeni işletmeciyle koordine edin ve anahtarlarını doğrulayın. Onarımdan sonra önbellekteki olumlu ve olumsuz yanıtların süresinin dolmasını bekleyin. Alan adı e-posta veya bir API için de kullanılıyorsa bir değişiklik zaman aralığı ve geri alma planı hazırlayın. Güvenilir imzalama otomasyonu ve izleme, bir panelde kontrol edilmemiş “etkin” durumundan daha değerlidir.