DNSSEC-kontroll
Vi frågar efter DS-posterna i föräldrazonen, zonens DNSKEY-uppsättning och dess signaturer, och frågar en validerande resolver om svaret valideras.
DNSSEC låter en resolver kontrollera att ett DNS-svar verkligen kommer från zonens ägare. Det fungerar som en tillitskedja: föräldrazonen (till exempel .no) publicerar en DS-post som är ett fingeravtryck av zonens nyckelsigneringsnyckel; zonen publicerar sina nycklar som DNSKEY-poster och signerar sina data med RRSIG-poster; en validerande resolver följer kedjan nedåt från roten och sätter AD-flaggan på svar den kunnat verifiera.
Kontrollen frågar efter DS-posterna i föräldrazonen, DNSKEY-uppsättningen och dess signaturer, och frågar vår resolver om svaret validerades. Den kontrollerar också att en DS-posts nyckeltagg matchar en nyckel i zonen – det som oftast går sönder när nycklar byts eller en domän flyttar till en ny DNS-leverantör.
Norid, registret för .no, stöder DNSSEC, och många norska domäner är signerade. En osignerad domän är inte trasig; den är bara inte skyddad mot förfalskade svar.
Vanliga frågor
Vad betyder ”signerad men validerar inte”?
Föräldrazonen publicerar DS-poster, men resolvern godtog inte zonens signaturer. Validerande resolvrar svarar då SERVFAIL, så domänen kan försvinna för deras användare. En vanlig orsak är en DS-post som blev kvar efter en flytt till en DNS-leverantör med andra nycklar.
Behöver jag DNSSEC?
Det skyddar mot förfalskade DNS-svar (cacheförgiftning) och krävs av vissa säkerhetsmekanismer, som DANE. Både din DNS-leverantör och din registrar måste stödja det.
Varför gäller resultatet för www.example.no example.no?
DNSSEC konfigureras per zon. Ett värdnamn i en zon skyddas av zonens nycklar, så kontrollen rapporterar om den zon som innehåller namnet.