Verificación DNSSEC
Consultamos los registros DS en la zona padre, el conjunto DNSKEY de la zona y sus firmas, y preguntamos a un resolutor validador si la respuesta se valida.
DNSSEC permite a un resolutor verificar que una respuesta DNS viene realmente del titular de la zona. Funciona como una cadena de confianza: la zona superior (por ejemplo .il) publica un registro DS, huella de la clave de firma de claves de la zona; la zona publica sus claves como DNSKEY y firma sus datos con registros RRSIG; un resolutor que valida sigue la cadena desde la raíz y marca con el indicador AD las respuestas que ha podido verificar.
La verificación consulta los DS de la zona superior, el conjunto DNSKEY y sus firmas, y pregunta a nuestro resolutor si la respuesta se validó. También verifica que la etiqueta de clave de cada DS coincide con una clave de la zona: el punto de rotura más habitual al rotar claves o cambiar de proveedor DNS.
La zona .il está firmada por su registro, ISOC-IL, y también lo están algunos dominios israelíes, como isoc.org.il y gov.il. Un dominio sin firmar no está roto; simplemente no está protegido contra respuestas falsificadas.
Preguntas frecuentes
¿Qué significa “firmado pero sin validar”?
La zona superior publica DS, pero el resolutor no aceptó las firmas de la zona. Los resolutores que validan responden SERVFAIL y el dominio puede desaparecer para sus usuarios. Causa habitual: un DS que quedó tras pasar a un proveedor DNS con otras claves.
¿Necesito DNSSEC?
Protege frente a respuestas DNS falsificadas (envenenamiento de caché) y es requisito de mecanismos como DANE. Tu proveedor de DNS y tu registrador deben admitirlo.
¿Por qué el resultado para www.example.co.il habla de example.co.il?
DNSSEC se configura por zona. Un nombre de host dentro de una zona está cubierto por las claves de esta, así que la verificación informa sobre la zona que contiene el nombre.