DNSSEC-tarkistus
Kysymme DS-tietueet ylemmästä vyöhykkeestä, vyöhykkeen DNSKEY-joukon ja sen allekirjoitukset, ja tarkistamme validoivalta nimipalvelimelta, validoituuko vastaus.
DNSSEC antaa nimipalvelimelle keinon varmistaa, että DNS-vastaus todella tulee vyöhykkeen omistajalta. Se toimii luottamusketjuna: ylempi vyöhyke (esimerkiksi .fi) julkaisee DS-tietueen, joka on vyöhykkeen avaintenallekirjoitusavaimen sormenjälki; vyöhyke julkaisee avaimensa DNSKEY-tietueina ja allekirjoittaa tietonsa RRSIG-tietueilla; validoiva nimipalvelin seuraa ketjua juuresta alaspäin ja asettaa AD-lipun vastauksiin, jotka se pystyi varmistamaan.
Tarkistus kysyy DS-tietueet ylemmästä vyöhykkeestä, DNSKEY-joukon ja sen allekirjoitukset sekä sen, validoituiko vastaus nimipalvelimellamme. Lisäksi se tarkistaa, vastaako DS-tietueen avaintunniste jotakin vyöhykkeen avainta – yleisin rikkoutuva kohta, kun avaimia vaihdetaan tai verkkotunnus siirtyy uudelle DNS-palvelulle.
.fi-rekisteri tukee DNSSECiä, ja monet suomalaiset verkkotunnukset on allekirjoitettu. Allekirjoittamaton verkkotunnus ei ole rikki; se ei vain ole suojattu väärennettyjä vastauksia vastaan.
Usein kysyttyä
Mitä ”allekirjoitettu, mutta ei validoidu” tarkoittaa?
Ylempi vyöhyke julkaisee DS-tietueet, mutta nimipalvelin ei hyväksynyt vyöhykkeen allekirjoituksia. Validoivat nimipalvelimet vastaavat silloin SERVFAIL, joten verkkotunnus voi kadota niiden käyttäjiltä. Yleinen syy on DS-tietue, joka jäi voimaan siirryttäessä DNS-palveluun, jolla on eri avaimet.
Tarvitsenko DNSSECiä?
Se suojaa väärennetyiltä DNS-vastauksilta (välimuistin myrkytys), ja jotkin tietoturvamekanismit, kuten DANE, edellyttävät sitä. Sekä DNS-palvelusi että verkkotunnusvälittäjäsi on tuettava sitä.
Miksi www.example.fi:n tulos koskee example.fi:tä?
DNSSEC määritetään vyöhykkeittäin. Vyöhykkeen sisällä olevaa isäntänimeä suojaavat vyöhykkeen avaimet, joten tarkistus raportoi nimen sisältävästä vyöhykkeestä.