DNSSEC Kontrolü

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Deneyin: cloudflare.com, ietf.org, dnssec-failed.org (kasıtlı olarak bozuk), google.com

DNSSEC nedir?

DNS, bir yanıtın gerçek olduğunu denetleyecek hiçbir yol olmadan tasarlandı; bu da önbellek zehirleme ve sahtecilik saldırılarını mümkün kılar. DNSSEC (DNS Security Extensions, yani DNS Güvenlik Uzantıları) DNS kayıtlarına dijital imzalar ekler. Bir bölge açık anahtarlarını DNSKEY kayıtları olarak yayımlar ve her kayıt kümesini bir RRSIG ile imzalar. Üst bölge (örneğin .com), alt bölgenin anahtar imzalama anahtarının özetini içeren bir DS kaydı yayımlar. DS → DNSKEY → RRSIG bağlantılarını kök bölgeye kadar izlemek, doğrulayan çözümleyicilerin sınayabileceği bir güven zinciri oluşturur. DNSSEC rehberimizi okuyun.

Bu denetleyici neleri doğrular

  1. Üst bölgedeki DS: kayıt kurumunun alan adı için bir DS kaydı yayımlayıp yayımlamadığı.
  2. Bölgedeki DNSKEY: yayımlanan anahtarlar, rolleri (KSK veya ZSK) ve algoritmaları.
  3. DS ↔ DNSKEY eşleşmesi: her anahtarın etiketini ve özetini kendimiz yeniden hesaplar ve DS kaydının gerçek bir anahtarı gösterdiğini doğrularız.
  4. Canlı doğrulama: doğrulayan bir çözümleyiciye (Cloudflare 1.1.1.1) alan adını sorar, Authenticated Data (AD) bayrağını ve varsa bir başarısızlığı açıklayan genişletilmiş DNS hatasını kontrol ederiz.

DNSSEC nasıl etkinleştirilir

  1. DNS barındırıcınızda DNSSEC imzalamayı açın. Başlıca DNS sağlayıcılarının çoğu bunu tek tıkla yapar.
  2. Size verdikleri DS kaydını (anahtar etiketi, algoritma, özet türü ve özet) kopyalayın.
  3. Bunu alan adı kayıt şirketinizin DNSSEC ayarlarına ekleyin. Bazı kayıt şirketleri DNS'inizi de barındırıyorsa bunu otomatik yapar.
  4. Üst bölgenin TTL süresini bekleyin, ardından bu kontrolü yeniden çalıştırın.
DNS sağlayıcısı mı değiştiriyorsunuz? Ad sunucularını değiştirmeden önce kayıt şirketindeki DS kaydını kaldırın; aksi hâlde eski DS yeni sağlayıcının anahtarlarıyla eşleşmez ve doğrulayan çözümleyici kullanan kişiler için tüm alan adınız çözümlenemez hâle gelir.

Sıkça sorulan sorular

DNSSEC, DNS'i şifreler mi?

Hayır. DNSSEC yanıtların gerçek olduğunu kanıtlar ama onları gizlemez. Şifreleme, DNS-over-HTTPS veya DNS-over-TLS'ten gelir.

Hangi algoritmayı kullanmalıyım?

SHA-256 ile ECDSA P-256 (algoritma 13) modern varsayılandır: küçük, hızlı ve yaygın biçimde desteklenir. Ed25519 (algoritma 15) de desteklendiği yerlerde iyi bir seçimdir.

Bazı büyük siteler neden DNSSEC kullanmıyor?

İşletme riski ve karmaşıklık nedeniyle; özellikle büyük, çok sağlayıcılı kurulumlarda. Benimsenme oranı TLD'ye ve sağlayıcıya göre büyük farklılık gösterir.

Güncellendi

Panoya kopyalandı