Έλεγχος DNSSEC
Ρωτάμε τις εγγραφές DS στη γονική ζώνη, το σύνολο DNSKEY της ζώνης και τις υπογραφές του, και ρωτάμε έναν επιλυτή με επικύρωση αν η απάντηση επικυρώνεται.
Το DNSSEC επιτρέπει σε έναν επιλυτή να επαληθεύσει ότι μια απάντηση DNS προέρχεται πράγματι από τον κάτοχο της ζώνης. Λειτουργεί ως αλυσίδα εμπιστοσύνης: η γονική ζώνη (για παράδειγμα το .gr) δημοσιεύει μια εγγραφή DS που αποτελεί το αποτύπωμα του κλειδιού υπογραφής κλειδιών της ζώνης· η ζώνη δημοσιεύει τα κλειδιά της ως εγγραφές DNSKEY και υπογράφει τα δεδομένα της με εγγραφές RRSIG· ένας επιλυτής με επικύρωση ακολουθεί την αλυσίδα από τη ρίζα προς τα κάτω και θέτει τη σημαία AD στις απαντήσεις που μπόρεσε να επαληθεύσει.
Ο έλεγχος ρωτά τις εγγραφές DS στη γονική ζώνη, το σύνολο DNSKEY και τις υπογραφές του, και ρωτά τον επιλυτή μας αν η απάντηση επικυρώθηκε. Ελέγχει επίσης ότι η ετικέτα κλειδιού μιας εγγραφής DS αντιστοιχεί σε κλειδί της ζώνης — αυτό που χαλάει συχνότερα όταν αλλάζουν τα κλειδιά ή όταν ένας τομέας μεταφέρεται σε νέο πάροχο DNS.
Η ζώνη .gr είναι υπογεγραμμένη, όπως και το gov.gr. Ένας τομέας χωρίς υπογραφή δεν είναι χαλασμένος· απλώς δεν προστατεύεται από πλαστές απαντήσεις.
Συχνές ερωτήσεις
Τι σημαίνει «υπογεγραμμένο, αλλά δεν επικυρώνεται»;
Η γονική ζώνη δημοσιεύει εγγραφές DS, αλλά ο επιλυτής δεν δέχτηκε τις υπογραφές της ζώνης. Οι επιλυτές με επικύρωση απαντούν τότε SERVFAIL, οπότε ο τομέας μπορεί να «εξαφανιστεί» για τους χρήστες τους. Συχνή αιτία είναι μια εγγραφή DS που έμεινε πίσω μετά τη μεταφορά σε πάροχο DNS με άλλα κλειδιά.
Χρειάζομαι DNSSEC;
Προστατεύει από πλαστές απαντήσεις DNS (cache poisoning) και απαιτείται από ορισμένους μηχανισμούς ασφάλειας, όπως το DANE. Πρέπει να το υποστηρίζουν και ο πάροχος DNS και ο καταχωρητής σας.
Γιατί το αποτέλεσμα για το www.example.gr αφορά το example.gr;
Το DNSSEC ρυθμίζεται ανά ζώνη. Ένα όνομα μέσα σε μια ζώνη καλύπτεται από τα κλειδιά της, οπότε ο έλεγχος αναφέρει τη ζώνη που περιέχει το όνομα.