DNSSEC Denetimi
Üst bölgedeki DS kayıtlarını, bölgenin DNSKEY kümesini ve imzalarını sorgular, doğrulayan bir çözümleyiciye yanıtın doğrulanıp doğrulanmadığını sorarız.
DNSSEC, bir çözümleyicinin DNS yanıtının gerçekten bölgenin sahibinden geldiğini doğrulamasını sağlar. Bir güven zinciri olarak çalışır: Üst bölge (örneğin .fi veya .com.tr) bölgenin anahtar imzalama anahtarının parmak izi olan bir DS kaydı yayımlar; bölge anahtarlarını DNSKEY olarak yayımlar ve verilerini RRSIG kayıtlarıyla imzalar; doğrulayan bir çözümleyici zinciri kökten aşağı izler ve doğrulayabildiği yanıtlarda AD bayrağını ayarlar.
Denetim üst bölgedeki DS kayıtlarını, DNSKEY kümesini ve imzalarını sorgular ve çözümleyicimize yanıtın doğrulanıp doğrulanmadığını sorar. Ayrıca her DS kaydının anahtar etiketinin bölgedeki bir anahtarla eşleşip eşleşmediğini kontrol eder – anahtar değişiminde ya da yeni bir DNS sağlayıcısına taşınırken en sık kırılan nokta budur.
İmzasız bir alan adı bozuk değildir; yalnızca sahte yanıtlara karşı korunmuyordur.
Sık sorulan sorular
“İmzalı ama doğrulanmıyor” ne demek?
Üst bölge DS kayıtları yayımlıyor ama çözümleyici bölgenin imzalarını kabul etmedi. Doğrulayan çözümleyiciler SERVFAIL döner ve alan adı onların kullanıcıları için kaybolabilir. Sık neden: farklı anahtarlar kullanan bir DNS sağlayıcısına geçtikten sonra yerinde bırakılan DS kaydı.
DNSSEC'e ihtiyacım var mı?
Sahte DNS yanıtlarına (önbellek zehirlemesi) karşı korur ve DANE gibi mekanizmaların ön koşuludur. DNS sağlayıcınızın ve kayıt şirketinizin ikisinin de desteklemesi gerekir.
www.example.com için sonuç neden example.com'u kapsıyor?
DNSSEC bölge başına kurulur. Bir bölgedeki ana bilgisayar adı o bölgenin anahtarlarıyla kapsanır, bu yüzden denetim adı içeren bölgeyi raporlar.