ما هو DNSSEC؟
صُمّم DNS دون أي وسيلة للتحقق من أصالة الإجابة، ما يتيح هجمات تسميم الذاكرة المؤقتة والانتحال. ويضيف DNSSEC (اختصار DNS Security Extensions) توقيعات رقمية إلى سجلات DNS. تنشر المنطقة مفاتيحها العامة بوصفها سجلات DNSKEY وتوقّع كل مجموعة سجلات بسجل RRSIG. وتنشر المنطقة الأم (مثل .com) سجل DS يحتوي على تجزئة لمفتاح توقيع المفاتيح في المنطقة الفرعية. وتتبّع الحلقات DS → DNSKEY → RRSIG وصولًا إلى الجذر يُنشئ سلسلة ثقة تستطيع المحلِّلات المتحقِّقة التحقق منها. اقرأ دليلنا عن DNSSEC.
ما الذي تتحقق منه هذه الأداة
- DS لدى المنطقة الأم: هل تنشر جهة السجل (registry) سجل DS للنطاق.
- DNSKEY في المنطقة: المفاتيح المنشورة وأدوارها (KSK أو ZSK) وخوارزمياتها.
- تطابق DS ↔ DNSKEY: نعيد حساب وسم كل مفتاح وملخّصه بأنفسنا ونتأكد من أن سجل DS يشير إلى مفتاح حقيقي.
- التحقق المباشر: نسأل محلِّلًا متحقِّقًا (Cloudflare 1.1.1.1) عن النطاق ونفحص علامة البيانات الموثَّقة (AD)، إضافةً إلى أي خطأ DNS موسَّع يشرح سبب الفشل.
كيفية تفعيل DNSSEC
- شغّل توقيع DNSSEC لدى مستضيف DNS الخاص بك. ويتيح معظم مزوّدي DNS الكبار ذلك بنقرة واحدة.
- انسخ سجل DS الذي تعطيك إياه (وسم المفتاح والخوارزمية ونوع الملخّص والملخّص).
- أضفه في إعدادات DNSSEC لدى مسجّل نطاقك. وتفعل بعض شركات التسجيل ذلك تلقائيًا عندما تستضيف DNS الخاص بك أيضًا.
- انتظر انتهاء TTL الخاص بالمنطقة الأم، ثم شغّل هذا الفحص مرة أخرى.
الأسئلة الشائعة
هل يشفّر DNSSEC بيانات DNS؟
لا. يثبت DNSSEC أصالة الإجابات لكنه لا يخفيها. أما التشفير فيأتي من DNS عبر HTTPS أو DNS عبر TLS.
أي خوارزمية ينبغي أن أستخدم؟
الخيار الحديث الافتراضي هو ECDSA P-256 مع SHA-256 (الخوارزمية 13): صغيرة وسريعة ومدعومة على نطاق واسع. وخوارزمية Ed25519 (الخوارزمية 15) جيدة أيضًا حيث تكون مدعومة.
لماذا لا تستخدم بعض المواقع الكبيرة DNSSEC؟
بسبب المخاطر التشغيلية والتعقيد، خصوصًا في الإعدادات الكبيرة متعددة المزوّدين. ويتفاوت الاعتماد تفاوتًا واسعًا بحسب النطاق العلوي والمزوّد.
آخر تحديث