Проверка DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Например: cloudflare.com, ietf.org, dnssec-failed.org (намеренно сломан), google.com
DNSSEC включен и действителен для cloudflare.comВалидирующие резолверы подтверждают подлинность ответов этого домена (установлен флаг AD).

Записи DS (в родительской зоне)

Тег ключаАлгоритмДайджестСоответствует DNSKEY
2371ECDSA P-256/SHA-256SHA-256
32996839A6D808AFE3EB4A795A0E6A7A39A76FC…		Да

Записи DNSKEY (в зоне)

Тег ключаРольАлгоритмФлаги
34505ZSKECDSA P-256/SHA-256256
2371KSKECDSA P-256/SHA-256257

Что такое DNSSEC?

DNS проектировали без какого-либо способа проверить, что ответ подлинный, из-за чего возможны атаки с отравлением кеша и подменой. DNSSEC (DNS Security Extensions) добавляет к DNS-записям цифровые подписи. Зона публикует свои открытые ключи в виде записей DNSKEY и подписывает каждый набор записей с помощью RRSIG. Родительская зона (например, .com) публикует запись DS, содержащую хеш ключа подписи ключей дочерней зоны. Если пройти по связям DS → DNSKEY → RRSIG вплоть до корня, получается цепочка доверия, которую проверяющие резолверы могут верифицировать. Прочитайте наше руководство по DNSSEC.

Что проверяет этот инструмент

  1. DS у родителя: публикует ли реестр запись DS для домена.
  2. DNSKEY в зоне: опубликованные ключи, их роли (KSK или ZSK) и алгоритмы.
  3. Соответствие DS ↔ DNSKEY: мы сами заново вычисляем тег и дайджест каждого ключа и убеждаемся, что запись DS указывает на реальный ключ.
  4. Проверка в реальном времени: мы запрашиваем домен у проверяющего резолвера (Cloudflare 1.1.1.1) и смотрим флаг Authenticated Data (AD), а также расширенную ошибку DNS, если она объясняет сбой.

Как включить DNSSEC

  1. Включите подпись DNSSEC у вашего DNS-хостинга. Большинство крупных DNS-провайдеров делают это одним щелчком.
  2. Скопируйте запись DS, которую они вам дадут (тег ключа, алгоритм, тип дайджеста и сам дайджест).
  3. Добавьте её в настройки DNSSEC у вашего регистратора доменов. Некоторые регистраторы делают это автоматически, если они же размещают ваш DNS.
  4. Подождите, пока истечёт TTL родительской зоны, и запустите проверку снова.
Переезжаете к другому DNS-провайдеру? Удалите запись DS у регистратора до смены серверов имён, иначе старая DS не будет соответствовать ключам нового провайдера, и весь ваш домен перестанет разрешаться для пользователей проверяющих резолверов.

Часто задаваемые вопросы

Шифрует ли DNSSEC DNS?

Нет. DNSSEC доказывает подлинность ответов, но не скрывает их. Шифрование обеспечивают DNS-over-HTTPS и DNS-over-TLS.

Какой алгоритм выбрать?

ECDSA P-256 с SHA-256 (алгоритм 13) — современный вариант по умолчанию: компактный, быстрый и широко поддерживаемый. Ed25519 (алгоритм 15) тоже хорош там, где поддерживается.

Почему некоторые крупные сайты не используют DNSSEC?

Из-за эксплуатационных рисков и сложности, особенно в крупных конфигурациях с несколькими провайдерами. Распространённость сильно зависит от TLD и провайдера.

Обновлено

Комментарии

Оценок пока нет

Войдите, чтобы оценить этот инструмент.

Поделитесь советом, задайте вопрос или расскажите, как вам помог инструмент.

Комментариев пока нет. Расскажите первым, как всё прошло.

Скопировано в буфер обмена