DNSSEC – co to jest i jak zabezpiecza domenę?
Jednym ze sposobów zwiększenia bezpieczeństwa domeny jest zastosowanie DNSSEC (Domain Name System Security Extensions). Nie jest to jednak kolejny zwykły rekord DNS, taki jak A, MX czy CNAME. DNSSEC to zestaw rozszerzeń systemu DNS, który umożliwia kryptograficzne sprawdzenie, czy informacje zwracane dla domeny są autentyczne i nie zostały po drodze zmienione. Co ciekawe sam DNS odpowiada między innymi za powiązanie czytelnej dla człowieka nazwy domeny z informacjami potrzebnymi do odnalezienia odpowiedniej usługi w Internecie. Szerzej wyjaśnialiśmy to w poradniku Co to jest DNS i jak działa?. DNSSEC nie zastępuje DNS. Dodaje do niego mechanizm pozwalający zweryfikować wiarygodność otrzymanych danych.
Zarejestruj domenę i zarządzaj jej konfiguracją w jednym Panelu Klienta W SEOHOST możesz rejestrować i transferować domeny, zmieniać ich delegację oraz zarządzać ustawieniami z poziomu jednego konta. Sprawdź ofertę domen internetowych SEOHOST.
Co to jest DNSSEC?
DNSSEC, czyli Domain Name System Security Extensions, jest zestawem rozszerzeń bezpieczeństwa dla systemu DNS. Jego zadaniem jest umożliwienie sprawdzenia, czy dane DNS otrzymane przez użytkownika rzeczywiście pochodzą z właściwej strefy domeny i czy nie zostały zmodyfikowane.
Nie oznacza to szyfrowania całego ruchu pomiędzy użytkownikiem a stroną internetową. DNSSEC nie zastępuje certyfikatu SSL ani protokołu HTTPS. Zabezpiecza inny etap komunikacji – ten, w którym system DNS ustala, jakie informacje są przypisane do wskazanej domeny.
Czym różni się DNS od DNSSEC?
W dużym uproszczeniu DNS odpowiada na pytanie: „gdzie należy szukać tej domeny lub związanej z nią usługi?”. Odpowiedź może wskazywać między innymi adres IP serwera WWW, serwer pocztowy albo inną usługę zdefiniowaną w rekordach DNS.
DNSSEC dodaje kolejne pytanie: „czy mogę zaufać tej odpowiedzi?”.
Jeżeli strefa została prawidłowo podpisana DNSSEC, resolver może sprawdzić cyfrowe podpisy danych DNS. Pozwala to wykryć sytuację, w której ktoś próbuje podmienić odpowiedź DNS i skierować użytkownika w inne miejsce niż to określone przez właściciela strefy.
Jak DNSSEC zabezpiecza domenę?
Operator autorytatywnych serwerów DNS podpisuje strefę domeny za pomocą kluczy kryptograficznych. Klucz prywatny służy do tworzenia podpisów i pozostaje po stronie operatora DNS, natomiast odpowiednie dane publiczne są publikowane w DNS.
Następnie tworzony jest rekord DS (Delegation Signer), który pozwala połączyć podpisaną strefę domeny ze strefą znajdującą się poziom wyżej. Dla domeny przykładowo twojafirma.pl informacja DS trafia do strefy .pl. W ten sposób powstaje tak zwany łańcuch zaufania.
Jeżeli podczas sprawdzania domeny podpisy i informacje w tym łańcuchu są zgodne, resolver może uznać dane DNS za autentyczne. Jeżeli walidacja się nie powiedzie, odpowiedź może zostać odrzucona zamiast przekierować użytkownika na adres wynikający z nieprawidłowych lub podmienionych danych.
Co to jest rekord DS i skąd go wziąć?
Niestety, to jest obszar w którym często można popełnić błąd, w interpretacji i konfiguracji, dlatego uczulamy: Rekordu DS nie wymyślasz sam i nie jest on zwykłym rekordem tworzonym obok takich rekordów jak A czy MX. Jego dane otrzymujesz od operatora autorytatywnych serwerów DNS po włączeniu i skonfigurowaniu DNSSEC dla strefy domeny.
- Przykładowo: domena może być zarejestrowana w SEOHOST, ale korzystać z serwerów DNS innego operatora. Jeżeli ten operator obsługuje DNSSEC, to właśnie po jego stronie podpisywana jest strefa i generowane są dane potrzebne do utworzenia rekordu DS (klucze). Następnie rekord DS przekazujesz rejestratorowi domeny, który umieszcza go w odpowiedniej strefie nadrzędnej (u nas robisz to w Panelu klienta, w ustawieniach domeny).
Dokładnie chodzi więco o to, gdzie znajduje się hosting, ale kto obsługuje autorytatywne serwery DNS domeny. Jeżeli chcesz sprawdzić lub zmienić serwery nazw przypisane do domeny w SEOHOST, przeczytaj poradnik Jak ustawić serwery DNS dla domeny?.
Jeżeli Twoja domena jest zarejestrowana w SEOHOST i otrzymałeś już dane rekordu DS od operatora serwerów DNS, możesz dodać je bezpośrednio w ustawieniach domeny w Panelu Klienta. Cały proces pokazujemy krok po kroku w osobnej instrukcji: Jak dodać rekord DNSSEC w Panelu Klienta SEOHOST?