Sprawdź od razu, czy protokół DNSSEC jest poprawnie skonfigurowany dla dowolnej domeny. Nasze bezpłatne narzędzie do weryfikacji DNSSEC sprawdza rekordy DS u Twojego rejestratora, rekordy DNSKEY na Twoim autorytatywnym serwerze nazw, ważność podpisu RRSIG oraz pełny łańcuch zaufania od Twojej domeny aż do korzenia DNS.
0+
Organizacje na całym świecie0+
Firmy z listy Fortune 100 i instytucje rządowe0+
kraje, w których prowadzimy działalnośćNasze narzędzie do sprawdzania zgodności z protokołem DNSSEC przeprowadza sześć podstawowych testów weryfikacyjnych dla Twojej domeny:
Potwierdza, że rekord „Delegation Signer” istnieje w strefie nadrzędnej (u rejestratora). Jest to kluczowe ogniwo łączące podpisaną strefę z globalnym łańcuchem zaufania.
Sprawdza, czy rekord klucza publicznego został opublikowany na Twoim autorytatywnym serwerze nazw. Strefa zazwyczaj posiada dwa klucze: klucz podpisujący strefę (ZSK) do codziennego użytku oraz klucz podpisujący klucz (KSK) służący do podpisywania klucza ZSK.
Sprawdza, czy w rekordach DNS występują podpisy kryptograficzne i czy nie wygasły. Wygasłe podpisy RRSIG powodują natychmiastowe niepowodzenie walidacji DNSSEC.
Sprawdza, czy rekord DS u rejestratora poprawnie odwołuje się do rekordu DNSKEY w strefie. Niezgodność (często wynikająca z niepełnej aktualizacji klucza) powoduje niepowodzenie walidacji.
Wykrywa przestarzałe lub słabe algorytmy podpisywania. Słabe algorytmy mogą osłabić korzyści związane z bezpieczeństwem wynikające z protokołu DNSSEC.
Sprawdza, czy cały łańcuch — od korzenia DNS, przez domenę najwyższego poziomu (TLD), aż po Twoją domenę — jest nienaruszony. Uszkodzone ogniwo w dowolnym miejscu tego łańcucha powoduje niepowodzenie całej weryfikacji.
Narzędzie sprawdzające zwraca jeden z czterech statusów:
Wszystkie kontrole dotyczące Twoich danych zakończyły się pomyślnie.
Plik DNSKEY istnieje, ale w rejestrze domen brakuje rekordu DS.
Rekord DS istnieje, ale brakuje odpowiadającego mu klucza DNSKEY.
Nie udało się znaleźć ani rekordów DS, ani DNSKEY.
DNSSEC (Domain Name System Security Extensions) to zestaw rozszerzeń kryptograficznych systemu DNS, który umożliwia programom rozpoznającym nazwy weryfikację, czy odpowiedzi DNS są autentyczne i czy nie zostały zmodyfikowane podczas przesyłania. DNSSEC dodaje podpisy cyfrowe do rekordów DNS i tworzy łańcuch zaufania od strefy głównej DNS aż po poszczególne domeny. Zapewnia to ochronę przed atakami typu „zatrucie pamięci podręcznej DNS” oraz „spoofing DNS”, które mogłyby przekierowywać użytkowników na złośliwe serwery.
Aby lepiej zapoznać się z mechanizmami działania protokołu DNSSEC, zapoznaj się z naszym:
Weryfikacja DNSSEC przebiega od góry do dołu poprzez hierarchiczny łańcuch zaufania:
Każdy poziom jest podpisywany i uwierzytelniany przez poziom wyższy za pomocą rekordu DS. Jeśli łańcuch ten zostanie przerwany na dowolnym poziomie, nawet jeśli strefa jest idealnie skonfigurowana, walidacja zakończy się niepowodzeniem.
Najczęstszy błąd: rekord DS nie został przesłany do rejestratora. Strefa jest podpisana (istnieje plik DNSKEY), ale nie jest powiązana ze strefą nadrzędną. Narzędzie sprawdzające zwraca wynik „Częściowy”.
Aby to naprawić: prześlij rekord DS (z serwera DNS) do swojego rejestratora. Aby łańcuch działał, oba elementy muszą istnieć.
DNSSEC wykorzystuje cztery podstawowe typy rekordów DNS, a nasze narzędzie sprawdza poprawność wszystkich z nich.
Przechowuje klucz publiczny służący do weryfikacji podpisów DNSSEC. Obejmuje klucz ZSK (służący do podpisywania rekordów) oraz klucz KSK (służący do podpisywania klucza ZSK).
Zawiera skrót klucza DNSKEY z strefy nadrzędnej, łączący Twoją domenę z łańcuchem zaufania DNSSEC.
Podpis kryptograficzny dla każdego zestawu rekordów DNS. Należy go odnowić przed upływem terminu ważności, aby zachować poprawność walidacji DNSSEC.
Potwierdza, że rekordy DNS nie istnieją (uwierzytelnione potwierdzenie braku istnienia). NSEC3 to wariant zapewniający ochronę prywatności. Uniemożliwia on atakującym wyliczenie wszystkich nazw w strefie użytkownika.
Włączenie protokołu DNSSEC przebiega w dwóch etapach. Aby zapewnić pełną weryfikację, należy wykonać oba etapy:
Włącz podpisywanie DNSSEC u swojego dostawcy usług hostingowych DNS
Zaloguj się do panelu swojego dostawcy usług DNS, włącz podpisywanie DNSSEC dla swojej domeny i skopiuj wygenerowany rekord DS. Spowoduje to utworzenie rekordów DNSKEY i uruchomienie automatycznego podpisywania strefy DNS.
Prześlij rekord DS do swojego rejestratora
Zaloguj się do serwisu rejestratora domen, otwórz ustawienia DNSSEC i dodaj rekord DS wygenerowany w kroku 1. Zapisz zmiany, aby zakończyć tworzenie łańcucha zaufania DNSSEC.
Czas: Propagacja DNS trwa 24–48 godzin.
Typowy błąd: Wielu użytkowników włącza podpisywanie DNSSEC, ale zapomina opublikować rekord DS, przez co łańcuch zaufania pozostaje niekompletny.
Oto pięć najczęstszych błędów związanych z nieprawidłową konfiguracją DNSSEC oraz sposoby ich usunięcia:
Brak rekordu DS lub nieprawidłowa konfiguracja
Przyczyna: W strefie znajduje się klucz DNSKEY (co oznacza, że strefa jest podpisana), ale rekord DS nie został przesłany do rejestratora lub jest nieprawidłowy. Łańcuch zaufania jest przerwany na poziomie rejestratora.
Zalecane rozwiązania:
DNSSEC nie jest włączone u rejestratora ani na serwerze nazw
Przyczyna: Nigdzie nie włączono podpisywania DNSSEC. Nie istnieją ani rekordy DNSKEY, ani DS.
Zalecane rozwiązania:
Wygasły podpis RRSIG
Przyczyna: Okres ważności podpisów w rekordach DNS wygasł. Zazwyczaj wynika to z nieudanej automatycznej wymiany klucza lub awarii dostawcy usług hostingowych DNS.
Zalecane rozwiązania:
Niezgodność DS-DNSKEY
Przyczyna: Rekord DS u Twojego rejestratora nie jest już zgodny z kluczem DNSKEY w Twojej strefie. Zazwyczaj ma to miejsce po wymianie klucza, gdy rekord DS nie został zaktualizowany.
Zalecane rozwiązania:
Funkcja DNSSEC jest włączona na serwerze nazw, ale nie u rejestratora
Przyczyna: Twoja strefa jest podpisana (obecne są rekordy DNSKEY), ale u Twojego rejestratora brakuje rekordu DS. Jest to najczęstszy przypadek nieprawidłowej konfiguracji DNSSEC.
Zalecane rozwiązania:
DNSSEC oraz standardy uwierzytelniania poczty elektronicznej (DMARC, DKIM, SPF) stanowią uzupełniające się, ale odrębne warstwy zabezpieczeń.
DNSSEC zabezpiecza zapytania DNS, natomiast SPF, DKIM i DMARC zabezpieczają pocztę elektroniczną. Gwarantuje to, że rekordy DNS wykorzystywane do uwierzytelniania poczty elektronicznej są autentyczne i nie zostały sfałszowane.
Bez DNSSEC osoby atakujące mogą sfałszować odpowiedzi DNS i zastąpić klucz DKIM użytkownika fałszywym kluczem. DNSSEC zapobiega temu, gwarantując, że serwery pocztowe pobierają autentyczny klucz DKIM z serwera DNS użytkownika.
DNSSEC nie zastępuje protokołów DMARC, DKIM ani SPF. Wszystkie trzy są nadal niezbędne do uwierzytelniania wiadomości e-mail. DNSSEC jedynie wzmacnia infrastrukturę DNS, na której opierają się te protokoły.
Skorzystaj z naszego bezpłatnego narzędzia do sprawdzania, aby natychmiast zweryfikować, czy Twój rekord DMARC jest aktywny, prawidłowy i wolny od błędów składniowych.
Narzędzie do sprawdzania DMARC →Usługa DMARC firmy PowerDMARC, świadczona w modelu hostowanym, zapewnia bezpieczne przejście od monitorowania do pełnego wdrożenia polityki „p=reject”, oferując wgląd w dane w czasie rzeczywistym.
DMARC w chmurze →PowerDMARC automatycznie analizuje raporty zbiorcze i powiadamia użytkownika o pojawieniu się nowych nadawców lub wystąpieniu problemów z uwierzytelnianiem.
Zacznij za darmo →
Kierownik regionalny w Auckland, Advantage
„Nasza działalność opiera się na zaufaniu – nie tylko między nami a klientami, ale także między nami a partnerami. Doskonała współpraca, jaką nawiązaliśmy z firmą PowerDMARC, pozwala nam zapewniać naszym klientom usługi na najwyższym poziomie”.
dig DS yourdomain.com @8.8.8.8 z wiersza poleceń, aby ręcznie wyszukać rekord DS.
