Що таке DNSSEC?
DNSSEC (DNS Security Extensions) криптографічно підписує записи DNS, щоб резолвери могли переконатися, що їх не підробляли, захищаючи від отруєння кешу й підробки. Він додає ланцюжок довіри поверх звичайного DNS, не змінюючи значення записів. IPeek запитує валідувальний резолвер DNS-over-HTTPS і повідомляє, чи підписаний домен і чи автентифікований він.
Як DNSSEC будує ланцюжок довіри
DNSSEC працює, підписуючи кожну зону приватним ключем і публікуючи відповідний відкритий ключ у DNS. Записи підписуються (RRSIG), ключі публікуються (DNSKEY), а відбиток ключа зони (запис DS) розміщується у батьківській зоні. Це пов’язує вашу зону з її батьком, який пов’язується зі своїм батьком, аж до кореня — безперервний ланцюжок довіри. Валідувальний резолвер іде за цим ланцюжком від кореня донизу, перевіряючи кожен підпис, і довіряє лише відповідям, чиї підписи валідуються.
Як читати результати перевірки DNSSEC
IPeek повідомляє, чи підписаний домен DNSSEC і чи автентифікує його валідувальний резолвер. Автентифікований результат (часто показаний як прапор AD, або Authenticated Data) означає, що ланцюжок довіри неушкоджений і записи перевірено. Якщо домен непідписаний, DNSSEC просто не ввімкнено — це поширено й не є помилкою, але означає, що записи не захищені. Підписаний домен, що не проходить валідацію, серйозніший: він указує на зламаний ланцюжок, зазвичай відсутній чи невідповідний запис DS у реєстратора.
Поширені проблеми DNSSEC і як їх виправити
Найпоширеніший збій — зламаний ланцюжок довіри, коли зона підписана, але запис DS у батька відсутній, застарілий чи не відповідає поточному ключу. Це змушує валідувальні резолвери повертати SERVFAIL і може повністю вивести домен з ладу для користувачів за валідувальними резолверами. Зазвичай це трапляється під час ротації ключів чи коли DNSSEC вмикають без завантаження запису DS до реєстратора. Виправте це, переконавшись, що запис DS у реєстратора відповідає активному ключу вашої зони, і ніколи не видаляйте старі ключі, доки оновлення DS не пошириться.