DNSSEC vienkāršā valodā

Modulis 8: Drošība un problēmu risināšana · Lasīšanas laiks: 11 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet vienkāršā valodā izskaidrot, ko DNSSEC aizsargā, kā darbojas uzticības ķēde un kāpēc tā var saplīst domēna pārsūtīšanas laikā.

Pamatjēdzieni: DNSSEC, paraksts (RRSIG), atslēga (DNSKEY), DS ieraksts, uzticības ķēde, validējošs rezolveris, SERVFAIL

Problēma: kā uzzināt, ka atbilde ir īsta?

1. modulī Jūs redzējāt, ka rezolveris uzdod virkni jautājumu: saknes serverim, TLD serverim un autoritatīvajam vārdu serverim. Atbilde, kas tiek saņemta, tiek uzskatīta par ticamu un ievietota kešatmiņā. Taču parastais DNS nepārbauda, vai šī atbilde tiešām nāk no pareizā vārdu servera. Uzbrucējs, kurš paspēj nosūtīt viltus atbildi pirms īstās atbildes pienākšanas, var panākt, ka rezolveris notic, ka example.com atrodas uz 203.0.113.66, nevis uz 192.0.2.10. To sauc par kešatmiņas saindēšanu (cache poisoning): kešatmiņa ir "saindēta", un ikviens, kurš izmanto šo rezolveri, nonāk pie nepareizā servera.

DNSSEC (DNS Security Extensions) atrisina šo problēmu, parakstot atbildes. Rezolveris tad var pārbaudīt, vai atbilde ir īsta un vai tā ceļā nav mainīta.

Ko DNSSEC dara un ko nedara

Šis ir vissvarīgākais, kas jāatceras:

Paraksts darbojas kā zīmogs uz aploksnes: ikviens var izlasīt vēstuli, bet Jūs uzreiz redzat, ja kāds to ir atvēris.

Trīs sastāvdaļas

DNSSEC pievieno dažus ierakstu tipus. Jums tie nav pašiem jāveido (to dara Jūsu DNS pārvaldnieks vai panelis), bet Jūs ar tiem sastapsieties:

• DNSKEY: zonas publiskā atslēga. Ar to ikviens var pārbaudīt parakstus.
• RRSIG: paraksts, kas pievienots ierakstu grupai. Katra A, MX vai TXT atbilde saņem RRSIG. Parakstam ir sākuma un beigu datums: tāpēc zona regulāri jāparaksta no jauna.
• DS (Delegation Signer): īss Jūsu zonas atslēgas "pirkstu nospiedums". Tas atrodas nevis Jūsu pašu zonā, bet gan pie vecāka: piemēram, example.com gadījumā pie .com reģistra (Verisign), bet Nīderlandes .nl domēnam pie SIDN (Nīderlandes .nl reģistra).

Šādi izskatās parakstīta atbilde (saīsināti):

$ dig example.com A +dnssec +noall +answer
example.com.  3600  IN  A      192.0.2.10
example.com.  3600  IN  RRSIG  A 13 2 3600 20261119000000 20261029000000 30794 example.com. s7yJ5o...

RRSIG ierakstā redzams, cita starpā, algoritms (13 = ECDSA P-256 ar SHA-256), beigu datums (2026. gada 19. novembris), sākuma datums un atslēgas numurs (30794).

Uzticības ķēde

Kāpēc DS atrodas pie vecāka? Tāpēc, ka atslēga Jūsu pašā zonā neko nepierāda: uzbrucējs varētu nosūtīt arī savu paša atslēgu. Tāpēc pārbaude notiek no augšas uz leju:

1. Rezolveris uzticas saknes (root) atslēgai. Tā ir iebūvēta katrā validējošajā rezolverī (trust anchor).
2. Saknei ir DS ierakstam .com, parakstīts ar saknes atslēgu. Tādējādi rezolveris zina, kādai atslēgai jābūt .com zonai.
3. .com zonai ir DS ierakstam example.com, parakstīts ar .com atslēgu.
4. Zonai example.com ir DNSKEY, kas atbilst šim DS, un ar to var pārbaudīt visus RRSIG ierakstus.

Katrs posms pierāda nākamo. Ja viens posms saplīst, visa ķēde kļūst neuzticama.

Validējošs rezolveris (lielākā daļa lielo publisko rezolveru, un arvien vairāk pakalpojumu sniedzēju) pārbauda šo ķēdi. Ja tā ir pareiza, Jūs saņemat atbildi. Ja tā nav pareiza, rezolveris nesniedz nekādu atbildi, bet gan kļūdas statusu SERVFAIL. Apmeklētājam tad šķiet, ka vietne vienkārši "neeksistē", lai gan Jūsu ieraksti varbūt ir pilnīgi kārtībā.

Jūs pats to varat redzēt ar domēnu, kas apzināti ir sabojāts:

$ dig dnssec-failed.org A @1.1.1.1
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL
; EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for dnssec-failed.org.)

Ar +cd ("checking disabled") Jūs lūdzat rezolverim izlaist pārbaudi. Ja tad Jūs tomēr saņemat atbildi, Jūs varat būt droši, ka cēlonis ir DNSSEC:

$ dig +cd dnssec-failed.org A @1.1.1.1 +short
96.99.227.255

Domēns bez DNSSEC (bez DS pie vecāka) nedod SERVFAIL: tas vienkārši nav parakstīts un tiek izlaists cauri kā "neaizsargāts".

Kur rodas kļūdas: domēna pārsūtīšana un atslēgu nomaiņa

DNSSEC pats par sevi gandrīz nekad nesaplīst. Problēmas rodas, ja DS ieraksts pie reģistra vairs neatbilst zonā esošajai atslēgai. Tas notiek galvenokārt:

• Veicot vārdu serveru vai DNS pakalpojuma sniedzēja maiņu. Jaunais pakalpojuma sniedzējs paraksta ar savu atslēgu, bet pie reģistra joprojām ir vecā pakalpojuma sniedzēja DS. Rezultāts: SERVFAIL ikvienam, kam ir validējošs rezolveris. Šī ir klasiska kļūda pēc domēna pārsūtīšanas.
• Veicot atslēgas nomaiņu, ja jaunais DS nav (laikus) nosūtīts reģistram.
• Ja paraksti ir beigušies, jo zona vairs netiek no jauna parakstīta.

Tāpēc droša secība domēna pārsūtīšanas gadījumā ir šāda:

1. Noņemiet DS ierakstu pie reģistra (vai lieciet jaunajam pakalpojuma sniedzējam sagatavot DS, ko Jūs pievienojat).
2. Uzgaidiet, līdz pagājis vecā DS TTL laiks.
3. Nomainiet vārdu serverus.
4. Ieslēdziet DNSSEC pie jaunā pakalpojuma sniedzēja un izvietojiet jauno DS pie reģistra.

Daudzi reģistratori un paneļi mūsdienās to nokārto automātiski, kamēr domēns un DNS atrodas pie viena un tā paša pakalpojuma sniedzēja. Ja tie atrodas pie dažādiem pakalpojumu sniedzējiem, DS ieraksts jāpārnes pašam.

Pašpārbaude: DNSViz, Zonemaster un internet.nl

Jums nav pašam jāpārbauda ķēde ar dig. Pastāv bezmaksas rīki, kas to izdara Jūsu vietā un parāda rezultātu.

DNSViz (https://dnsviz.net/) attēlo visu ķēdi kā shēmu. Lietošana:

1. Sākumlapā ierakstiet meklēšanas laukā domēna vārdu (tikai vārdu, bez https:// un bez www) un noklikšķiniet Go.
2. DNSViz parāda pēdējo analīzi. Ja tā ir veca, vai Jūs tikko kaut ko mainījāt, noklikšķiniet Update now. Pēc dažām sekundēm parādīsies shēma.
3. Lasiet shēmu no augšas uz leju: augšā sakne (.), zem tās TLD (piemēram, nl), apakšā Jūsu domēns. Katra zona ir atsevišķs rāmis.

Ko Jūs redzat shēmā:

Ķēdi izsekojiet šādi: DS (pie vecāka) norāda uz DNSKEY (Jūsu zonā), un šī DNSKEY ar RRSIG uzliek savu parakstu ierakstiem. Tā ir tieši tā pati ķēde, kas aprakstīta šajā nodarbībā, tikai attēlota grafiski.

Krāsas parāda, vai viss ir kārtībā:

• Zils: droši (secure). Ķēde nepārtraukti iet no saknes līdz šim elementam.
• Melns: neparakstīts (insecure). Nav DS ieraksta, tāpēc nav ko pārbaudīt. Tā nav kļūda, domēns vienkārši neizmanto DNSSEC.
• Sarkans: saplīsis (bogus). DS neatbilst atslēgai, vai paraksts nav pareizs. Validējošs rezolveris tad dod SERVFAIL.
• Violets (pie paraksta): paraksts ir beidzies vai vēl nav derīgs. Zona vairs netiek no jauna parakstīta.
• Dzeltens: brīdinājums, piemēram, vārdu serveris, kas pareizi neatbild, vai algoritms, ko rīks nepazīst.
• Pelēks un punktots: ir norāde uz atslēgu, kuras nav. Ja Jūs redzat punktotu DNSKEY zem DS, tad pie vecāka joprojām ir vecas atslēgas DS: klasiska kļūda pēc domēna pārsūtīšanas.

Blakus elementam var būt trijstūrītis (brīdinājums) vai apaļš kļūdas simbols. Novietojiet peli virs tā, vai apskatiet sarakstu zem shēmas: tur vārdiem aprakstīts, kas nav kārtībā.

Izmēģiniet to ar sidn.nl (viss zils) un ar dnssec-failed.org (sarkans, ar punktotu atslēgu zem DS).

Citi rīki, kas to pašu aplūko no citas puses:

• Zonemaster (https://zonemaster.net/): pārbauda visu Jūsu zonu tā, kā to dara reģistrs, arī DNSSEC. Rezultāts ir saraksts ar zaļu (labi), oranžu (brīdinājums) un sarkanu (kļūda).
• internet.nl (https://internet.nl/): vietnes un e-pasta tests cita starpā parāda, vai DNSSEC Jūsu domēnam un pasta serveriem ir kārtībā, ar zaļām ķeksītēm vai sarkaniem krustiņiem.
• Verisign DNSSEC Debugger (https://dnssec-debugger.verisignlabs.com/): pārbauda ķēdi soli pa solim un katrā solī liek zaļu ķeksīti vai sarkanu krustiņu. Noderīgs, ja meklējat vienu konkrētu kļūdu.

Izmantojiet tos pēc katras izmaiņas DNSSEC iestatījumos, un noteikti pirms un pēc domēna pārsūtīšanas. Ļaujiet rīkam mierīgi veikt analīzi no jauna: arī šie rīki izmanto kešatmiņas un TTL vērtības.

Praksē: kā tas izskatās panelī

Mans WebOké DNSSEC ieslēdzat domēnam sadaļā DNSSEC/DANE; panelis izveido atslēgas un nosūta DS reģistram. DirectAdmin un ārējiem pakalpojumu sniedzējiem, piemēram, Cloudflare, tas parasti saucas "DNSSEC ieslēgšana"; Cloudflare tad parāda DS ierakstu, kas pašam jāievada pie reģistratora. Citi paneļi darbojas līdzīgi: vienmēr ir solis "atslēgu izveide" (pie DNS pakalpojuma sniedzēja) un solis "DS pie reģistra" (pie reģistratora).

Kopsavilkums

• DNSSEC paraksta DNS atbildes, lai rezolveris varētu pārbaudīt, vai tās ir īstas. Tas neko nešifrē.
• DNSKEY ir atslēga, RRSIG ir paraksts, DS ir pirkstu nospiedums pie vecāka.
• Pārbaude notiek kā ķēde no saknes līdz Jūsu domēnam. Ja kāds posms saplīst, validējošs rezolveris dod SERVFAIL.
• Gandrīz visas problēmas rodas, jo DS pie reģistra vairs neatbilst, bieži pēc domēna pārsūtīšanas.
• Ar dig +cd Jūs varat redzēt, vai problēma rodas no DNSSEC.
• DNSViz attēlo ķēdi grafiski: zils ir drošs, melns ir neparakstīts, sarkans ir saplīsis. Zonemaster, internet.nl un Verisign DNSSEC Debugger ir labi otrie viedokļi.

Tests

Uzdevums

Uzdevums Z8.1: DNSSEC apskate. Noskaidrojiet, kuram no diviem domēniem DNSSEC ir kārtībā un kurš ir apzināti sabojāts: sidn.nl un dnssec-failed.org. Pieprasiet abiem DS ierakstu un A ierakstu caur validējošu rezolveri (piemēram, 1.1.1.1 vai 9.9.9.9), izmantojot dig vai tiešsaistes rīku. Ierakstiet: sidn.nl DS ieraksta atslēgas numuru (key tag, pirmais skaitlis) un statusu, ko saņemat dnssec-failed.org gadījumā.

Uzdevums Z8.1b: DNSViz lasīšana. Analizējiet nlnetlabs.nl ar DNSViz (https://dnsviz.net/, ievadiet vārdu un noklikšķiniet Go; noklikšķiniet Update now, ja analīze ir veca). Izlasiet shēmu un ierakstiet: (1) nlnetlabs.nl statusu (drošs, neparakstīts vai saplīsis), (2) DNSKEY ierakstu algoritma numuru (atrodams katrā ovālā kā alg=), (3) cik DNSKEY ovālu ir nlnetlabs.nl zonā, (4) pelēkā aizpildītā DNSKEY atslēgas numuru (id=), uz kuru norāda DS, un (5) statusu, ko DNSViz uzrāda dnssec-failed.org gadījumā. Pārbaude pieprasa šos pašus datus reāllaikā.

Uzdevums O8.1: Trīs DNSSEC demonstrācijas zonu novērtēšana. Mēs esam sagatavojuši trīs demonstrācijas zonas: signed-demo.dnspractice.com (pareiza ķēde), broken-demo.dnspractice.com (apzināti sabojāta) un unsigned-demo.dnspractice.com (neparakstīta). Noskaidrojiet katrai zonai, vai tā ir droša, saplīsusi vai neparakstīta, piemēram, izmantojot DNSViz vai dig +dnssec (pievērsiet uzmanību AD karodziņam un pie SERVFAIL mēģiniet arī +cd). Izvēlieties katrai zonai savu atbildi zemāk.

Lasīt tālāk

Šie raksti apraksta soļus WebOké paneļos; citiem pakalpojumu sniedzējiem pogas var saukties citādi.

• WebOké rokasgrāmata 5.8: DNSSEC un DANE
• Kas ir DNSSEC?
• DNSSEC aktivizēšana
• Vietne vai e-pasts nedarbojas pēc pārvietošanas vai DNS izmaiņām: pārbaudiet savu domēnu