Verificação DNSSEC
Consultamos os registos DS na zona-mãe, o conjunto DNSKEY da zona e as suas assinaturas, e perguntamos a um resolvedor validador se a resposta é validada.
O DNSSEC permite a um resolvedor verificar que uma resposta DNS vem realmente do titular da zona. Funciona como uma cadeia de confiança: a zona superior (por exemplo .fi ou .pt) publica um registo DS, impressão digital da chave de assinatura de chaves da zona; a zona publica as suas chaves como DNSKEY e assina os dados com registos RRSIG; um resolvedor que valida segue a cadeia a partir da raiz e marca com o sinalizador AD as respostas que conseguiu verificar.
A verificação consulta os DS da zona superior, o conjunto DNSKEY e as suas assinaturas, e pergunta ao nosso resolvedor se a resposta foi validada. Confirma também que a etiqueta de chave de cada DS corresponde a uma chave da zona – o ponto de rutura mais comum ao rodar chaves ou mudar de fornecedor DNS.
Um domínio sem assinatura não está avariado; apenas não está protegido contra respostas falsificadas.
Perguntas frequentes
O que significa «assinado, mas sem validação»?
A zona superior publica DS, mas o resolvedor não aceitou as assinaturas da zona. Os resolvedores que validam respondem SERVFAIL e o domínio pode desaparecer para os seus utilizadores. Causa habitual: um DS que ficou depois da mudança para um fornecedor DNS com outras chaves.
Preciso de DNSSEC?
Protege contra respostas DNS falsificadas (envenenamento de cache) e é requisito de mecanismos como o DANE. O seu fornecedor DNS e o seu registador têm ambos de o suportar.
Porque é que o resultado para www.example.com fala de example.com?
O DNSSEC é configurado por zona. Um nome de anfitrião dentro de uma zona é coberto pelas chaves dessa zona, por isso a verificação informa sobre a zona que contém o nome.