DNSSEC paprasta kalba

8 modulis: Saugumas ir problemų sprendimas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Po šios pamokos galėsite paprasta kalba paaiškinti, ką apsaugo DNSSEC, kaip veikia pasitikėjimo grandinė ir kodėl ji gali sugesti perkeliant domeną.

Pagrindinės sąvokos: DNSSEC, parašas (RRSIG), raktas (DNSKEY), DS įrašas, pasitikėjimo grandinė, validuojantis resolveris, SERVFAIL

Problema: iš kur žinoti, kad atsakymas yra tikras?

1 modulyje matėte, kad resolveris užduoda eilę klausimų: šakniniam serveriui, TLD serveriui ir autoritetiniam vardų serveriui. Gautas atsakymas yra priimamas kaip tikras ir įrašomas į talpyklą. Tačiau įprastas DNS netikrina, ar tas atsakymas iš tiesų atėjo iš teisingo vardų serverio. Užpuolikas, kuriam pavyksta nusiųsti netikrą atsakymą anksčiau nei ateina tikrasis, gali priversti resolverį patikėti, kad example.com yra adresu 203.0.113.66, o ne 192.0.2.10. Tai vadinama cache poisoning (talpyklos užnuodijimu): talpykla yra "užnuodyta", ir visi, kas naudoja tą resolverį, patenka į netinkamą serverį.

DNSSEC (DNS Security Extensions) tai išsprendžia pasirašydamas atsakymus. Resolveris tada gali patikrinti, ar atsakymas tikras ir ar jis nebuvo pakeistas pakeliui.

Ką DNSSEC daro, o ko nedaro

Štai ką svarbiausia įsiminti:

Parašas veikia kaip antspaudas ant voko: visi gali perskaityti laišką, bet iškart matote, ar kas nors jį atplėšė.

Trys sudedamosios dalys

DNSSEC prideda keletą įrašų tipų. Jų patiems kurti nereikia (tai padaro Jūsų DNS administratorius arba valdymo skydelis), bet Jūs juos pamatysite:

• DNSKEY: zonos viešasis raktas. Juo naudodamasis bet kas gali patikrinti parašus.
• RRSIG: įrašų grupės parašas. Kiekvienas A, MX ar TXT atsakymas gauna RRSIG. Parašas turi galiojimo pradžios ir pabaigos datą: todėl zoną reikia reguliariai pasirašyti iš naujo.
• DS (Delegation Signer): trumpas Jūsų zonos rakto "pirštų atspaudas". Jis yra ne Jūsų pačios zonoje, o pas tėvinį mazgą: pavyzdžiui, example.com atveju pas .com registrą (Verisign), o .lt domeno atveju pas DOMREG.

Taip atrodo pasirašytas atsakymas (sutrumpintas):

$ dig example.com A +dnssec +noall +answer
example.com.  3600  IN  A      192.0.2.10
example.com.  3600  IN  RRSIG  A 13 2 3600 20261119000000 20261029000000 30794 example.com. s7yJ5o...

RRSIG įraše matote, be kita ko, algoritmą (13 = ECDSA P-256 su SHA-256), galiojimo pabaigos datą (2026 m. lapkričio 19 d.), galiojimo pradžios datą ir rakto numerį (30794).

Pasitikėjimo grandinė

Kodėl DS yra pas tėvinį mazgą? Todėl, kad raktas Jūsų pačios zonoje nieko neįrodo: užpuolikas taip pat galėtų pridėti savo raktą. Todėl patikrinimas vyksta iš viršaus į apačią:

1. Resolveris pasitiki šakninio mazgo raktu. Jis yra įdiegtas kiekviename validuojančiame resolveryje (trust anchor).
2. Šakninis mazgas turi DS įrašą domenui .com, pasirašytą šaknies raktu. Taip resolveris žino, kokį raktą turėtų turėti .com.
3. .com zona turi DS įrašą domenui example.com, pasirašytą .com raktu.
4. Zona example.com turi DNSKEY, atitinkantį tą DS, ir tuo remiantis galima patikrinti visus RRSIG įrašus.

Kiekviena grandis įrodo kitą. Jei viena grandis nutrūksta, visa grandinė tampa nepatikima.

Validuojantis resolveris (dauguma didelių viešųjų resolverių ir vis daugiau paslaugų teikėjų) patikrina šią grandinę. Jei ji teisinga, gaunate atsakymą. Jei ne, resolveris negrąžina atsakymo, o grąžina klaidos būseną SERVFAIL. Lankytojui tuomet atrodo, kad svetainės tiesiog "nėra", nors Jūsų įrašai gali būti visiškai tvarkingi.

Tai galite patys pamatyti domene, kuris specialiai yra sugadintas:

$ dig dnssec-failed.org A @1.1.1.1
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL
; EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for dnssec-failed.org.)

Naudodami +cd ("checking disabled") paprašote resolverio praleisti patikrinimą. Jei tada gaunate atsakymą, žinote, kad problema yra būtent DNSSEC:

$ dig +cd dnssec-failed.org A @1.1.1.1 +short
96.99.227.255

Domenas be DNSSEC (be DS įrašo pas tėvinį mazgą) SERVFAIL negrąžina: jis tiesiog nepasirašytas ir praleidžiamas kaip "neapsaugotas".

Kur dažniausiai kyla problemų: perkėlimas ir rakto keitimas

Pats DNSSEC beveik niekada nesugenda. Problema kyla tada, kai DS įrašas pas registrą nebeatitinka zonos rakto. Taip nutinka dažniausiai:

• Perkeliant vardų serverius ar DNS paslaugų teikėją. Naujasis teikėjas pasirašo savo raktu, tačiau pas registrą dar yra ankstesnio teikėjo DS. Rezultatas: SERVFAIL visiems, naudojantiems validuojantį resolverį. Tai klasikinė klaida po perkėlimo.
• Keičiant raktą, kai naujas DS (laiku) nebuvo nusiųstas registrui.
• Kai parašų galiojimas pasibaigia, nes zona nebėra pasirašoma iš naujo.

Todėl saugi perkėlimo tvarka yra tokia:

1. Pašalinkite DS pas registrą (arba paprašykite naujo teikėjo pateikti DS, kurį pridėsite).
2. Palaukite, kol pasibaigs seno DS TTL.
3. Pakeiskite vardų serverius.
4. Įjunkite DNSSEC pas naująjį teikėją ir užtikrinkite, kad naujas DS būtų pateiktas registrui.

Daugelis registratorių ir valdymo skydelių šiandien tai sutvarko automatiškai, jei domenas ir DNS yra pas tą patį teikėją. Jei jie yra pas skirtingus teikėjus, DS reikia perkelti patiems.

Patikrinkite patys: DNSViz, Zonemaster ir internet.nl

Grandinės tikrinti su dig rankomis nereikia. Yra nemokamų įrankių, kurie tai padaro už Jus ir parodo rezultatą.

DNSViz (https://dnsviz.net/) nupiešia visą grandinę kaip paveikslėlį. Štai kaip juo naudotis:

1. Pagrindiniame puslapyje paieškos laukelyje įveskite domeno pavadinimą (tik patį pavadinimą, be https:// ir be www) ir spustelėkite Go.
2. DNSViz rodo paskutinę analizę. Jei ji sena, arba ką tik kažką pakeitėte, spustelėkite Update now. Po kelių sekundžių pamatysite paveikslėlį.
3. Skaitykite paveikslėlį iš viršaus į apačią: viršuje šaknis (.), žemiau TLD (pavyzdžiui, nl), apačioje Jūsų domenas. Kiekviena zona yra rėmelyje.

Ką matote paveikslėlyje:

Grandinę sekate taip: DS (pas tėvinį mazgą) rodo į DNSKEY (Jūsų zonoje), o tas DNSKEY su RRSIG pasirašo įrašus. Tai lygiai ta pati grandinė kaip šioje pamokoje, tik nupiešta.

Spalvos parodo, ar viskas tvarkoje:

• Mėlyna: saugu (secure). Grandinė nepertraukiamai eina nuo šaknies iki šios dalies.
• Juoda: nepasirašyta (insecure). DS nėra, taigi nėra ko tikrinti. Tai nėra klaida, domenas tiesiog nenaudoja DNSSEC.
• Raudona: sugedę (bogus). DS neatitinka rakto, arba parašas neteisingas. Validuojantis resolveris tokiu atveju grąžina SERVFAIL.
• Violetinė (prie parašo): parašo galiojimas pasibaigęs arba dar negalioja. Zona nebėra pasirašoma iš naujo.
• Geltona: įspėjimas, pavyzdžiui, vardų serveris, kuris neatsako tinkamai, arba algoritmas, kurio įrankis nepažįsta.
• Pilka ir punktyrinė: nurodomas raktas, kurio nėra. Jei matote punktyrinį DNSKEY po DS, vadinasi, pas tėvinį mazgą vis dar yra seno rakto DS: klasikinė klaida po perkėlimo.

Šalia dalies gali būti trikampis (įspėjimas) arba apvalus klaidos ženklas. Užveskite pelės žymeklį ant jo arba pažiūrėkite sąraše po paveikslėliu: ten žodžiais parašyta, kas negerai.

Išbandykite tai su sidn.nl (viskas mėlyna) ir su dnssec-failed.org (raudona, su punktyriniu raktu po DS).

Kiti įrankiai, kurie tą patį vertina iš kito kampo:

• Zonemaster (https://zonemaster.net/): patikrina visą Jūsų zoną taip, kaip tai daro registras, įskaitant DNSSEC. Rezultatas yra sąrašas su žaliais (gerai), oranžiniais (įspėjimas) ir raudonais (klaida) ženklais.
• internet.nl (https://internet.nl/): svetainės ir el. pašto testas, be kita ko, parodo, ar DNSSEC Jūsų domenui ir pašto serveriams yra tvarkoje, su žaliais varnelėmis ar raudonais kryžiukais.
• Verisign DNSSEC Debugger (https://dnssec-debugger.verisignlabs.com/): žingsnis po žingsnio patikrina grandinę ir prie kiekvieno žingsnio deda žalią varnelę arba raudoną kryžiuką. Patogu, kai ieškote konkrečios klaidos.

Naudokite juos po kiekvieno DNSSEC pakeitimo ir būtinai prieš bei po perkėlimo. Leiskite įrankiui ramiai atlikti analizę iš naujo: ir šie įrankiai dirba su talpyklomis bei TTL reikšmėmis.

Praktikoje: kaip tai atrodo valdymo skydelyje

Mano WebOké domenui įjungiate DNSSEC skiltyje DNSSEC/DANE; valdymo skydelis sukuria raktus ir nusiunčia DS registrui. DirectAdmin ir kitose, pavyzdžiui, Cloudflare, paslaugose tai paprastai vadinama "DNSSEC įjungimu"; Cloudflare tuomet parodo DS įrašą, kurį turite patys įvesti pas savo registratorių. Kiti valdymo skydeliai veikia panašiai: visada yra žingsnis "sukurti raktus" (pas DNS paslaugų teikėją) ir žingsnis "DS pas registrą" (pas registratorių).

Santrauka

• DNSSEC pasirašo DNS atsakymus, kad resolveris galėtų patikrinti, ar jie tikri. Jis nieko nešifruoja.
• DNSKEY yra raktas, RRSIG yra parašas, DS yra pirštų atspaudas pas tėvinį mazgą.
• Patikrinimas vyksta kaip grandinė nuo šaknies iki Jūsų domeno. Jei viena grandis nutrūksta, validuojantis resolveris grąžina SERVFAIL.
• Beveik visos problemos kyla dėl to, kad DS pas registrą nebeatitinka, dažniausiai po perkėlimo.
• Su dig +cd galite patikrinti, ar problema kyla dėl DNSSEC.
• DNSViz nupiešia grandinę: mėlyna reiškia saugu, juoda nepasirašyta, raudona sugedę. Zonemaster, internet.nl ir Verisign DNSSEC Debugger yra geros papildomos nuomonės.

Testas

Užduotis

Užduotis Z8.1: DNSSEC stebėjimas. Išsiaiškinkite, kuris iš dviejų domenų turi tvarkingą DNSSEC, o kuris specialiai sugadintas: sidn.nl ir dnssec-failed.org. Abiem atvejais užklauskite DS įrašą ir A įrašą per validuojantį resolverį (pavyzdžiui, 1.1.1.1 arba 9.9.9.9), naudodami dig arba internetinį įrankį. Įrašykite: sidn.nl DS rakto numerį (key tag, pirmasis skaičius) ir būseną, kurią gaunate domenui dnssec-failed.org.

Užduotis Z8.1b: DNSViz skaitymas. Išanalizuokite nlnetlabs.nl DNSViz įrankyje (https://dnsviz.net/, įveskite pavadinimą ir spustelėkite Go; jei analizė sena, spustelėkite Update now). Perskaitykite paveikslėlį ir įrašykite: (1) nlnetlabs.nl būseną (saugu, nepasirašyta ar sugedę), (2) DNSKEY įrašų algoritmo numerį (nurodytas kiekviename ovale kaip alg=), (3) kiek DNSKEY ovalų yra nlnetlabs.nl zonoje, (4) pilkai užpildyto DNSKEY, į kurį rodo DS, rakto numerį (id=), ir (5) būseną, kurią DNSViz rodo domenui dnssec-failed.org. Patikrinimas tuos pačius duomenis užklausia gyvai.

Užduotis O8.1: Trijų DNSSEC demonstracinių zonų įvertinimas. Paruošėme tris demonstracines zonas: signed-demo.dnspractice.com (tvarkinga grandinė), broken-demo.dnspractice.com (specialiai sugadinta) ir unsigned-demo.dnspractice.com (nepasirašyta). Kiekvienai zonai nustatykite, ar ji saugi, sugedusi, ar nepasirašyta, pavyzdžiui, naudodami DNSViz arba dig +dnssec (atkreipkite dėmesį į AD vėliavą, o įvykus SERVFAIL, pabandykite ir su +cd). Žemiau kiekvienai zonai pasirinkite savo atsakymą.

Skaitykite daugiau

Šiuose straipsniuose aprašomi žingsniai WebOké valdymo skydeliuose; kitose paslaugose mygtukai gali vadintis kitaip.

• WebOké vadovas 5.8: DNSSEC ir DANE
• Kas yra DNSSEC?
• DNSSEC aktyvavimas
• Svetainė arba el. paštas neveikia po perkėlimo ar DNS įrašų pakeitimo: patikrinkite savo domeną