בדיקת DNSSEC
אנחנו שואלים על רשומות ה-DS באזור ההורה, על קבוצת ה-DNSKEY של האזור ועל החתימות שלה, ושואלים שרת מאמת אם התשובה מאומתת.
DNSSEC מאפשר לשרת DNS לוודא שתשובה באמת הגיעה מבעל האזור. הוא עובד כשרשרת אמון: אזור ההורה (למשל .il) מפרסם רשומת DS שהיא טביעת אצבע של מפתח חתימת המפתחות של האזור; האזור מפרסם את המפתחות שלו כרשומות DNSKEY וחותם על הנתונים שלו ברשומות RRSIG; שרת מאמת עוקב אחרי השרשרת מהשורש ומטה ומדליק את דגל ה-AD בתשובות שהצליח לאמת.
הבדיקה שואלת על רשומות ה-DS אצל ההורה, על קבוצת ה-DNSKEY ועל החתימות שלה, ושואלת את השרת שלנו אם התשובה אומתה. היא גם בודקת שה-key tag של רשומת DS תואם מפתח באזור – הדבר שנשבר הכי הרבה כשמחליפים מפתחות או כשדומיין עובר לספק DNS חדש.
אזור .il חתום על ידי המרשם שלו, איגוד האינטרנט הישראלי, וכך גם חלק מהדומיינים הישראליים, למשל isoc.org.il ו-gov.il. דומיין לא חתום אינו שבור; הוא פשוט לא מוגן מפני תשובות מזויפות.
שאלות נפוצות
מה פירוש „חתום, אבל לא מאומת”?
ההורה מפרסם רשומות DS, אבל השרת לא קיבל את החתימות של האזור. שרתים מאמתים עונים אז SERVFAIL, והדומיין עלול להיעלם עבור המשתמשים שלהם. סיבה נפוצה היא רשומת DS שנשארה אחרי מעבר לספק DNS עם מפתחות אחרים.
האם אני צריך DNSSEC?
הוא מגן מפני תשובות DNS מזויפות (הרעלת מטמון) ונדרש לחלק ממנגנוני האבטחה, כמו DANE. ספק ה-DNS ורשם הדומיין צריכים שניהם לתמוך בו.
למה התוצאה עבור www.example.co.il מתייחסת ל-example.co.il?
DNSSEC מוגדר לכל אזור. שם מארח בתוך אזור מכוסה במפתחות של האזור, ולכן הבדיקה מדווחת על האזור שמכיל את השם.