Vérification DNSSEC
Nous interrogeons les enregistrements DS de la zone parente, le jeu DNSKEY de la zone et ses signatures, et demandons à un résolveur validant si la réponse est validée.
DNSSEC permet à un résolveur de vérifier qu’une réponse DNS provient bien du titulaire de la zone. Il fonctionne comme une chaîne de confiance : la zone parente (par exemple .fi ou .fr) publie un enregistrement DS, empreinte de la clé de signature de clés de la zone ; la zone publie ses clés en DNSKEY et signe ses données avec des enregistrements RRSIG ; un résolveur validant suit la chaîne depuis la racine et positionne le drapeau AD sur les réponses qu’il a pu vérifier.
La vérification interroge les DS de la zone parente, le jeu DNSKEY et ses signatures, et demande à notre résolveur si la réponse a été validée. Elle contrôle aussi que l’identifiant de clé de chaque DS correspond à une clé de la zone – le point de rupture le plus fréquent lors d’un roulement de clés ou d’un changement de fournisseur DNS.
Un domaine non signé n’est pas cassé ; il n’est simplement pas protégé contre les réponses falsifiées.
Questions fréquentes
Que signifie « signé mais non validé » ?
La zone parente publie des DS, mais le résolveur n'a pas accepté les signatures de la zone. Les résolveurs validants répondent alors SERVFAIL et le domaine peut disparaître pour leurs utilisateurs. Cause fréquente : un DS laissé en place après le passage à un fournisseur DNS utilisant d'autres clés.
Ai-je besoin de DNSSEC ?
Il protège contre les réponses DNS falsifiées (empoisonnement de cache) et est un prérequis à des mécanismes comme DANE. Votre fournisseur DNS et votre bureau d'enregistrement doivent tous deux le prendre en charge.
Pourquoi le résultat pour www.example.com concerne-t-il example.com ?
DNSSEC se configure par zone. Un nom d'hôte dans une zone est couvert par les clés de celle-ci ; la vérification rapporte donc la zone qui contient le nom.