DNSSEC для домену: що це і як увімкнути

Що таке DNSSEC

У звичайній службі DNS відповіді не містять жодного доказу того, що вони прийшли з правильного джерела. Якщо хтось зможе вклинитися в трафік, він може підмінити відповідь адресою власного сервера. Відвідувач потрапить не туди, вважаючи, що перебуває на справжньому сайті.

DNSSEC додає до відповідей електронний підпис. Дані домену підписуються закритим ключем, а служба DNS перевіряє підпис відкритим ключем.

Звідси виникає запитання: як служба DNS знає, що відкритий ключ справжній? Відповідь: ланцюжок довіри. Кожен рівень засвідчує ключ рівня нижче. Коренева зона засвідчує зону fi, а зона fi засвідчує окремий домен.

Це засвідчення називається DS-записом. Це відбиток ключа домену, і він зберігається в зоні рівнем вище. DS-запис є окремим типом запису, так само як записи A, CNAME, MX і TXT, але він міститься не у власній зоні вашого домену, а над нею.

Навіщо вам ми, навіть якщо сервери імен в іншому місці

Саме цей момент дивує найчастіше.

DS-запис вашого домену не зберігається у вашому DNS-сервісі. Він міститься в зоні fi, яку веде Фінське агентство транспорту та зв'язку Traficom. Доступ туди має лише реєстратор домену.

Якщо ви користуєтеся DNS-сервісом, наприклад Cloudflare, він виконує свою частину роботи: підписує дані і публікує ключі. Але він не може нічого записати в зону fi. Остання ланка залишається за реєстратором.

Такий самий поділ ви вже знаєте зі зміни серверів імен. DNS-сервіс обслуговує сервери імен, але інформація про те, що ваш домен використовує саме їх, зберігається в реєстрі. DS-запис працює так само.

Як увімкнути DNSSEC

Коли сервери імен у Nordweb

Увійдіть в особистий кабінет, оберіть домен і увімкніть DNSSEC. Підписання і передачу даних до реєстру ми виконаємо за вас. Записи можна редагувати в тому самому розділі, див. керування налаштуваннями DNS.

Коли сервери імен в іншому місці

1. Увімкніть DNSSEC у панелі керування вашого DNS-сервісу. У Cloudflare цей параметр розташований у розділі DNS.
2. Після цього сервіс покаже DS-запис. Він складається з чотирьох частин: ідентифікатор ключа (key tag), алгоритм, тип дайджесту і дайджест.
3. Надішліть увесь DS-запис нам на адресу support@nordweb.fi і вкажіть, про який домен ідеться.
4. Ми внесемо запис до реєстру і повідомимо, коли він набуде чинності.

Зміна зазвичай стає видимою протягом кількох годин.

Важливо: повідомте нас, якщо вимикаєте DNSSEC

Це найпоширеніша і найнеприємніша помилка з DNSSEC, тож прочитайте цей розділ, перш ніж його вмикати.

Якщо ви вимкнете DNSSEC у своєму DNS-сервісі або зміните DNS-сервіс і не повідомите нас, у реєстрі залишиться старий DS-запис, який уже нічому не відповідає. Тоді служби DNS відхилятимуть усі відповіді для вашого домену. Сайт не відкриватиметься, пошта не ходитиме, і на сервері ця проблема ніяк не буде видна.

Повідомте нас заздалегідь, і ми одночасно видалимо запис.

Чи варто вмикати DNSSEC

DNSSEC справді покращує захист, але він не терміновий для всіх.

Він захищає від підробки DNS-відповідей. Це реальний спосіб атаки, але рідший, ніж, наприклад, злам через застарілу систему керування вмістом.

Його впровадження також потребує ретельності, бо помилкове налаштування повністю виводить домен з ладу. Якщо не впевнені, чи він вам потрібен, запитайте нас.