Che cos'è DNSSEC?
DNSSEC (DNS Security Extensions) firma crittograficamente i record DNS così i resolver possono verificare che non siano stati manomessi, difendendo da cache poisoning e spoofing. Aggiunge una catena di fiducia sopra il DNS ordinario senza cambiare il significato dei record. IPeek interroga un resolver DNS-over-HTTPS con convalida e segnala se il dominio è firmato e autenticato.
Come DNSSEC costruisce una catena di fiducia
DNSSEC funziona firmando ogni zona con una chiave privata e pubblicando la chiave pubblica corrispondente nel DNS. I record vengono firmati (RRSIG), le chiavi vengono pubblicate (DNSKEY), e un'impronta della chiave della zona (il record DS) viene collocata nella zona genitore. Questo collega la tua zona al genitore, che si collega al proprio genitore, fino alla radice — una catena di fiducia continua. Un resolver con convalida segue quella catena dalla radice verso il basso, verificando ogni firma, e considera attendibili solo le risposte le cui firme sono valide.
Come interpretare i risultati del controllo DNSSEC
IPeek segnala se il dominio è firmato con DNSSEC e se un resolver con convalida lo autentica. Un risultato autenticato (spesso mostrato come flag AD, ovvero Authenticated Data) significa che la catena di fiducia è intatta e i record sono verificati. Se il dominio non è firmato, DNSSEC semplicemente non è abilitato — cosa comune e non un errore, ma significa che i record non sono protetti. Un dominio firmato che non supera la convalida è più grave: indica una catena interrotta, di solito un record DS mancante o non corrispondente presso il registrar.
Problemi comuni DNSSEC e come risolverli
Il guasto più comune è una catena di fiducia interrotta, in cui la zona è firmata ma il record DS nel genitore è mancante, obsoleto o non corrisponde alla chiave attuale. Questo fa restituire ai resolver con convalida un SERVFAIL e può mettere completamente offline il dominio per gli utenti dietro resolver con convalida. Accade di solito durante le rotazioni delle chiavi o quando si abilita DNSSEC senza caricare il record DS presso il registrar. Risolvilo assicurandoti che il record DS presso il registrar corrisponda alla chiave attiva della tua zona, e non rimuovere mai le vecchie chiavi prima che l'aggiornamento del DS sia propagato.