DNSSEC (Domain Name System Security Extensions) to rozszerzenie DNS, które dodaje do odpowiedzi podpisy cyfrowe. Dzięki temu resolver może sprawdzić, że adres strony nie został podmieniony.
Przed czym chroni DNSSEC?
Przed zatruciem pamięci podręcznej DNS i podmianą odpowiedzi, które kierują użytkownika na fałszywą stronę. Gwarantuje autentyczność i integralność odpowiedzi, ale ich nie szyfruje.
Jak działa DNSSEC?
Strefa DNS jest podpisywana kluczem prywatnym, a klucz publiczny jest powiązany łańcuchem zaufania z nadrzędną strefą (np. .pl). Resolver weryfikuje podpisy krok po kroku.
Jak włączyć DNSSEC?
Włącz podpisywanie strefy u dostawcy DNS i dodaj rekord DS u rejestratora domeny. Źle skonfigurowany DNSSEC może sprawić, że domena przestanie się rozwiązywać, więc zmiany wprowadzaj ostrożnie.
Ograniczenia DNSSEC
DNSSEC nie szyfruje zapytań, więc nie ukrywa, jakie domeny odwiedzasz, i nie chroni przed przejęciem konta u rejestratora. Chroni wyłącznie autentyczność odpowiedzi DNS. Wymaga też, by resolver użytkownika sprawdzał podpisy, a część dostawców internetu nadal tego nie robi. Dlatego traktuj go jako jedną z warstw ochrony obok HTTPS i zabezpieczenia konta w panelu domeny.
Przy rotacji kluczy ważna jest kolejność kroków i aktualizacja rekordu DS. Pomyłka sprawia, że domena przestaje być rozwiązywana przez resolvery weryfikujące podpisy.