DNSSEC nedir?
DNS, bir yanıtın gerçek olduğunu denetleyecek hiçbir yol olmadan tasarlandı; bu da önbellek zehirleme ve sahtecilik saldırılarını mümkün kılar. DNSSEC (DNS Security Extensions, yani DNS Güvenlik Uzantıları) DNS kayıtlarına dijital imzalar ekler. Bir bölge açık anahtarlarını DNSKEY kayıtları olarak yayımlar ve her kayıt kümesini bir RRSIG ile imzalar. Üst bölge (örneğin .com), alt bölgenin anahtar imzalama anahtarının özetini içeren bir DS kaydı yayımlar. DS → DNSKEY → RRSIG bağlantılarını kök bölgeye kadar izlemek, doğrulayan çözümleyicilerin sınayabileceği bir güven zinciri oluşturur. DNSSEC rehberimizi okuyun.
Bu denetleyici neleri doğrular
- Üst bölgedeki DS: kayıt kurumunun alan adı için bir DS kaydı yayımlayıp yayımlamadığı.
- Bölgedeki DNSKEY: yayımlanan anahtarlar, rolleri (KSK veya ZSK) ve algoritmaları.
- DS ↔ DNSKEY eşleşmesi: her anahtarın etiketini ve özetini kendimiz yeniden hesaplar ve DS kaydının gerçek bir anahtarı gösterdiğini doğrularız.
- Canlı doğrulama: doğrulayan bir çözümleyiciye (Cloudflare 1.1.1.1) alan adını sorar, Authenticated Data (AD) bayrağını ve varsa bir başarısızlığı açıklayan genişletilmiş DNS hatasını kontrol ederiz.
DNSSEC nasıl etkinleştirilir
- DNS barındırıcınızda DNSSEC imzalamayı açın. Başlıca DNS sağlayıcılarının çoğu bunu tek tıkla yapar.
- Size verdikleri DS kaydını (anahtar etiketi, algoritma, özet türü ve özet) kopyalayın.
- Bunu alan adı kayıt şirketinizin DNSSEC ayarlarına ekleyin. Bazı kayıt şirketleri DNS'inizi de barındırıyorsa bunu otomatik yapar.
- Üst bölgenin TTL süresini bekleyin, ardından bu kontrolü yeniden çalıştırın.
Sıkça sorulan sorular
DNSSEC, DNS'i şifreler mi?
Hayır. DNSSEC yanıtların gerçek olduğunu kanıtlar ama onları gizlemez. Şifreleme, DNS-over-HTTPS veya DNS-over-TLS'ten gelir.
Hangi algoritmayı kullanmalıyım?
SHA-256 ile ECDSA P-256 (algoritma 13) modern varsayılandır: küçük, hızlı ve yaygın biçimde desteklenir. Ed25519 (algoritma 15) de desteklendiği yerlerde iyi bir seçimdir.
Bazı büyük siteler neden DNSSEC kullanmıyor?
İşletme riski ve karmaşıklık nedeniyle; özellikle büyük, çok sağlayıcılı kurulumlarda. Benimsenme oranı TLD'ye ve sağlayıcıya göre büyük farklılık gösterir.
Güncellendi