Verifica DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Prova: cloudflare.com, ietf.org, dnssec-failed.org (volutamente non funzionante), google.com
DNSSEC non è attivo per google.comIl dominio non è firmato. Funziona normalmente, ma le risposte non sono protette crittograficamente.

Cos'è DNSSEC?

Il DNS è stato progettato senza alcun modo per verificare che una risposta sia autentica, il che rende possibili attacchi di cache poisoning e spoofing. DNSSEC (DNS Security Extensions) aggiunge firme digitali ai record DNS. Una zona pubblica le sue chiavi pubbliche come record DNSKEY e firma ogni insieme di record con una RRSIG. La zona padre (ad esempio .com) pubblica un record DS che contiene un hash della key-signing key della zona figlia. Seguire i collegamenti DS → DNSKEY → RRSIG fino alla root crea una catena di fiducia che i resolver con convalida possono verificare. Leggi la nostra guida a DNSSEC.

Cosa verifica questo strumento

  1. DS nella zona padre: se il registro pubblica un record DS per il dominio.
  2. DNSKEY nella zona: le chiavi pubblicate, i loro ruoli (KSK o ZSK) e gli algoritmi.
  3. Corrispondenza DS ↔ DNSKEY: ricalcoliamo noi stessi key tag e digest di ogni chiave e confermiamo che il record DS punti a una chiave reale.
  4. Convalida in tempo reale: interroghiamo un resolver con convalida (Cloudflare 1.1.1.1) per il dominio e controlliamo il flag Authenticated Data (AD), oltre a eventuali extended DNS error che spiegano un errore.

Come attivare DNSSEC

  1. Attiva la firma DNSSEC presso il tuo host DNS. La maggior parte dei principali provider DNS lo fa con un clic.
  2. Copia il record DS che ti forniscono (key tag, algoritmo, tipo di digest e digest).
  3. Aggiungilo nelle impostazioni DNSSEC del registrar del tuo dominio. Alcuni registrar lo fanno in automatico quando ospitano anche il tuo DNS.
  4. Attendi il TTL della zona padre, poi esegui di nuovo questa verifica.
Stai cambiando provider DNS? Rimuovi il record DS presso il registrar prima di cambiare i name server, altrimenti il vecchio DS non corrisponderà alle chiavi del nuovo provider e l'intero dominio smetterà di risolversi per gli utenti dei resolver con convalida.

Domande frequenti

DNSSEC cifra il DNS?

No. DNSSEC dimostra che le risposte sono autentiche, ma non le nasconde. La cifratura arriva da DNS-over-HTTPS o DNS-over-TLS.

Quale algoritmo devo usare?

ECDSA P-256 con SHA-256 (algoritmo 13) è l'impostazione moderna di riferimento: piccolo, veloce e ampiamente supportato. Anche Ed25519 (algoritmo 15) va bene dove è supportato.

Perché alcuni grandi siti non usano DNSSEC?

Per il rischio operativo e la complessità, soprattutto nelle configurazioni grandi e con più provider. L'adozione varia molto a seconda del TLD e del provider.

Aggiornato

Copiato negli appunti