DNSSEC-sjekk
Vi hentar DS-postane i foreldresona, DNSKEY-settet til sona og signaturane, og spør ein validerande resolver om svaret blir validert.
Denne teksten finst ikkje på norsk nynorsk enno. Han blir vist på norsk bokmål til ei omsetjing er publisert.
DNSSEC lar en resolver kontrollere at et DNS-svar virkelig kommer fra eieren av sonen. Det fungerer som en tillitskjede: foreldresonen (for eksempel .no) publiserer en DS-post med et fingeravtrykk av sonens nøkkelsigneringsnøkkel; sonen publiserer nøklene sine som DNSKEY-poster og signerer dataene med RRSIG-poster; en validerende resolver følger kjeden fra roten og nedover og setter AD-flagget på svar den kunne bekrefte.
Sjekken henter DS-postene hos forelderen, DNSKEY-settet og signaturene, og spør resolveren vår om svaret ble validert. Den kontrollerer også at nøkkel-ID-en i en DS-post passer med en nøkkel i sonen – det som oftest går galt når nøkler byttes, eller når et domene flytter til en ny DNS-leverandør.
Norid, som driver .no, støtter DNSSEC, og mange norske domener er signert. Et domene uten signatur er ikke ødelagt; det er bare ikke beskyttet mot forfalskede svar.
Ofte stilte spørsmål
Hva betyr «signert, men validerer ikke»?
Forelderen publiserer DS-poster, men resolveren godtok ikke signaturene i sonen. Validerende resolvere svarer da SERVFAIL, så domenet kan forsvinne for brukere av slike resolvere. En vanlig årsak er en DS-post som ble liggende igjen etter flytting til en DNS-leverandør med andre nøkler.
Trenger jeg DNSSEC?
Det beskytter mot forfalskede DNS-svar (cache poisoning) og kreves av enkelte sikkerhetsmekanismer, som DANE. Både DNS-leverandøren og registraren din må støtte det.
Hvorfor gjelder resultatet for www.example.no egentlig example.no?
DNSSEC settes opp per sone. Et vertsnavn i en sone dekkes av nøklene til den sonen, så sjekken rapporterer om sonen navnet ligger i.