DNSSEC jednostavnim riječima

Modul 8: Sigurnost i rješavanje problema · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete jednostavnim riječima objasniti što DNSSEC štiti, kako funkcionira lanac povjerenja i zašto kod prijenosa domene nešto može poći po zlu.

Ključni pojmovi: DNSSEC, potpis (RRSIG), ključ (DNSKEY), DS zapis, lanac povjerenja, validirajući resolver, SERVFAIL

Problem: kako znate da je odgovor stvaran?

U modulu 1 vidjeli ste da resolver postavlja niz upita: rootu, poslužitelju TLD-a i autoritativnom poslužitelju imena. Odgovor koji stigne se vjeruje i sprema u predmemoriju. No obično DNS ne provjerava dolazi li taj odgovor zaista od ispravnog poslužitelja imena. Napadač koji uspije poslati lažan odgovor prije nego stigne pravi, može navesti resolver da povjeruje kako example.com živi na 203.0.113.66 umjesto na 192.0.2.10. To se zove trovanje predmemorije (cache poisoning): predmemorija je "otrovana", pa svatko tko koristi taj resolver završi na pogrešnom poslužitelju.

DNSSEC (DNS Security Extensions) to rješava potpisivanjem odgovora. Resolver tada može provjeriti je li odgovor stvaran i nije li usput promijenjen.

Što DNSSEC radi, a što ne

Ovo je najvažnije zapamtiti:

Potpis djeluje poput pečata na omotnici: svatko može pročitati pismo, ali odmah vidite je li ga netko otvorio.

Tri sastavna dijela

DNSSEC dodaje nekoliko vrsta zapisa. Njih ne morate sami izrađivati (to radi Vaš DNS upravitelj ili kontrolna ploča), ali ćete ih susretati:

• DNSKEY: javni ključ zone. Pomoću njega svatko može provjeriti potpise.
• RRSIG: potpis uz skupinu zapisa. Svaki A, MX ili TXT odgovor dobiva svoj RRSIG. Potpis ima datum početka i isteka: zonu je stoga potrebno redovito ponovno potpisivati.
• DS (Delegation Signer): kratak "otisak prsta" ključa Vaše zone. On se nalazi ne u Vašoj vlastitoj zoni, nego kod roditelja: za example.com to je kod registra za .com (Verisign), za domenu pod .nl kod SIDN-a (registar .nl domene u Nizozemskoj).

Ovako izgleda potpisan odgovor (skraćeno):

$ dig example.com A +dnssec +noall +answer
example.com.  3600  IN  A      192.0.2.10
example.com.  3600  IN  RRSIG  A 13 2 3600 20261119000000 20261029000000 30794 example.com. s7yJ5o...

U RRSIG zapisu vidite, među ostalim, algoritam (13 = ECDSA P-256 sa SHA-256), datum isteka (19. studenog 2026.), datum početka i broj ključa (30794).

Lanac povjerenja

Zašto se DS nalazi kod roditelja? Zato što ključ u Vašoj vlastitoj zoni ništa ne dokazuje: napadač bi mogao poslati i vlastiti ključ. Zato provjera ide odozgo prema dolje:

1. Resolver vjeruje ključu roota. On je ugrađen u svaki validirajući resolver (trust anchor).
2. Root ima DS za .com, potpisan korijenskim ključem. Time resolver zna koji bi ključ .com trebao imati.
3. Zona .com ima DS za example.com, potpisan ključem .com-a.
4. Zona example.com ima DNSKEY koji odgovara tom DS-u, pa se njime mogu provjeriti svi RRSIG zapisi.

Svaka karika dokazuje sljedeću. Ako jedna karika pukne, cijeli lanac postaje nepouzdan.

Validirajući resolver (većina velikih javnih resolvera, a sve više i pružatelja usluga) prolazi kroz taj lanac. Ako je ispravan, dobivate odgovor. Ako nije, resolver ne daje odgovor, nego status pogreške SERVFAIL. Posjetitelju se tada čini da stranica jednostavno "ne postoji", iako su Vaši zapisi možda sasvim u redu.

To možete sami vidjeti na domeni koja je namjerno pokvarena:

$ dig dnssec-failed.org A @1.1.1.1
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL
; EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for dnssec-failed.org.)

Pomoću +cd ("checking disabled") tražite od resolvera da preskoči provjeru. Ako tada dobijete odgovor, sigurno znate da je problem u DNSSEC-u:

$ dig +cd dnssec-failed.org A @1.1.1.1 +short
96.99.227.255

Domena bez DNSSEC-a (bez DS-a kod roditelja) ne daje SERVFAIL: ona jednostavno nije potpisana i propušta se kao "nezaštićena".

Gdje nešto pođe po zlu: prijenos domene i promjena ključeva

Sam DNSSEC gotovo nikad ne pokvari ništa. Problem nastaje kada DS kod registra više ne odgovara ključu u zoni. To se najčešće događa:

• Kod prijenosa poslužitelja imena ili DNS pružatelja. Novi pružatelj potpisuje vlastitim ključem, ali kod registra i dalje stoji DS starog pružatelja. Posljedica: SERVFAIL za svakoga tko koristi validirajući resolver. To je klasična greška nakon prijenosa domene.
• Kod promjene ključa kada novi DS nije (na vrijeme) poslan registru.
• Kada potpisi isteknu, jer se zona više ne potpisuje ponovno.

Siguran redoslijed kod prijenosa domene je stoga:

1. Uklonite DS kod registra (ili zatražite od novog pružatelja DS koji ćete dodati).
2. Pričekajte da istekne TTL starog DS-a.
3. Zamijenite poslužitelje imena.
4. Uključite DNSSEC kod novog pružatelja i pobrinite se da se novi DS postavi kod registra.

Mnogi registrari i kontrolne ploče danas to rješavaju automatski, sve dok su domena i DNS kod istog pružatelja. Ako su kod različitih pružatelja, DS morate sami prenijeti.

Samostalna provjera: DNSViz, Zonemaster i internet.nl

Lanac ne morate provjeravati ručno pomoću dig naredbe. Postoje besplatni alati koji to rade umjesto Vas i prikazuju rezultat.

DNSViz (https://dnsviz.net/) crta cijeli lanac kao sliku. Ovako ga koristite:

1. Na početnoj stranici upišite naziv domene u polje za pretraživanje (samo naziv, bez https:// i bez www) i kliknite na Go.
2. DNSViz prikazuje posljednju analizu. Ako je zastarjela, ili ste upravo nešto promijenili, kliknite na Update now. Nakon nekoliko sekundi vidjet ćete sliku.
3. Sliku čitajte odozgo prema dolje: na vrhu je root (.), ispod njega TLD (na primjer nl), na dnu Vaša domena. Svaka zona predstavlja jedan okvir.

Što vidite na slici:

Lanac slijedite ovako: DS (kod roditelja) pokazuje na DNSKEY (u Vašoj zoni), a taj DNSKEY svojim RRSIG zapisom potpisuje zapise. To je upravo lanac iz ove lekcije, ali nacrtan.

Boje govore je li sve ispravno:

• Plava: sigurno (secure). Lanac je neprekinuto povezan od roota do ovog dijela.
• Crna: nepotpisano (insecure). Nema DS-a, pa nema što provjeravati. To nije greška, domena jednostavno ne koristi DNSSEC.
• Crvena: pokvareno (bogus). DS ne odgovara ključu, ili potpis nije ispravan. Validirajući resolver tada vraća SERVFAIL.
• Ljubičasta (kod potpisa): potpis je istekao ili još nije valjan. Zona se više ne potpisuje ponovno.
• Žuta: upozorenje, na primjer poslužitelj imena koji ne odgovara ispravno, ili algoritam koji alat ne prepoznaje.
• Siva i isprekidana: upućuje na ključ koji ne postoji. Vidite li isprekidani DNSKEY ispod DS-a, kod roditelja i dalje stoji DS starog ključa: klasična greška nakon prijenosa domene.

Pored pojedinog dijela može stajati trokutić (upozorenje) ili okrugli znak greške. Postavite kursor miša na njega, ili pogledajte popis ispod slike: tamo je riječima opisano što nije u redu.

Isprobajte s sidn.nl (sve plavo) i s dnssec-failed.org (crveno, s isprekidanim ključem ispod DS-a).

Drugi alati koji isto provjeravaju iz drugog kuta:

• Zonemaster (https://zonemaster.net/): provjerava cijelu Vašu zonu onako kako to radi registar, uključujući DNSSEC. Rezultat je popis sa zelenom (dobro), narančastom (upozorenje) i crvenom (greška) bojom.
• internet.nl (https://internet.nl/): test web stranice i e-pošte, između ostalog, pokazuje je li DNSSEC u redu za Vašu domenu i Vaše poslužitelje pošte, uz zelene kvačice ili crvene križe.
• Verisign DNSSEC Debugger (https://dnssec-debugger.verisignlabs.com/): prolazi kroz lanac korak po korak i uz svaki korak stavlja zelenu kvačicu ili crveni križ. Korisno kad tražite jednu konkretnu grešku.

Koristite ih nakon svake promjene na DNSSEC-u, a svakako i prije i poslije prijenosa domene. Pustite alat da ponovno analizira: i ovi alati rade s predmemorijama i TTL vrijednostima.

U praksi: tako to izgleda u kontrolnoj ploči

U Mojem WebOké-u uključujete DNSSEC za domenu pod DNSSEC/DANE; kontrolna ploča izrađuje ključeve i šalje DS registru. U DirectAdminu i kod vanjskih pružatelja poput Cloudflarea to se obično zove "Uključi DNSSEC"; Cloudflare Vam tada prikazuje DS zapis koji sami unosite kod svog registrara. Druge kontrolne ploče rade slično: uvijek postoji korak "izrada ključeva" (kod DNS pružatelja) i korak "DS kod registra" (kod registrara).

Sažetak

• DNSSEC potpisuje DNS odgovore kako bi resolver mogao provjeriti da su stvarni. Ništa ne šifrira.
• DNSKEY je ključ, RRSIG je potpis, DS je otisak prsta kod roditelja.
• Provjera teče kao lanac od roota do Vaše domene. Ako jedna karika pukne, validirajući resolver vraća SERVFAIL.
• Gotovo svi problemi nastaju jer DS kod registra više ne odgovara, najčešće nakon prijenosa domene.
• Pomoću dig +cd možete vidjeti dolazi li problem od DNSSEC-a.
• DNSViz crta lanac: plavo je sigurno, crno je nepotpisano, crveno je pokvareno. Zonemaster, internet.nl i Verisign DNSSEC Debugger dobra su dodatna mišljenja.

Kviz

Zadatak

Zadatak Z8.1: Gledanje DNSSEC-a. Utvrdite koja od dvije domene ima ispravan DNSSEC, a koja je namjerno pokvarena: sidn.nl i dnssec-failed.org. Za obje zatražite DS zapis i A zapis preko validirajućeg resolvera (na primjer 1.1.1.1 ili 9.9.9.9), pomoću dig naredbe ili online alata. Unesite: broj ključa (key tag, prvi broj) DS zapisa domene sidn.nl, i status koji dobivate za dnssec-failed.org.

Zadatak Z8.1b: Čitanje DNSViz-a. Analizirajte nlnetlabs.nl u DNSViz-u (https://dnsviz.net/, upišite naziv i kliknite na Go; kliknite na Update now ako je analiza zastarjela). Pročitajte sliku i unesite: (1) status domene nlnetlabs.nl (sigurno, nepotpisano ili pokvareno), (2) broj algoritma DNSKEY zapisa (naveden u svakom ovalu kao alg=), (3) koliko se DNSKEY ovala nalazi u zoni domene nlnetlabs.nl, (4) broj ključa (id=) sivo ispunjenog DNSKEY-ja na koji pokazuje DS, i (5) status koji DNSViz daje za dnssec-failed.org. Provjera traži iste podatke uživo.

Zadatak O8.1: Ocjena triju demonstracijskih DNSSEC zona. Pripremili smo tri demonstracijske zone: signed-demo.dnspractice.com (ispravan lanac), broken-demo.dnspractice.com (namjerno pokvarena) i unsigned-demo.dnspractice.com (nepotpisana). Za svaku zonu utvrdite je li sigurna, pokvarena ili nepotpisana, na primjer pomoću DNSViz-a ili naredbe dig +dnssec (obratite pozornost na AD oznaku, a kod SERVFAIL-a isprobajte i +cd). Ispod odaberite svoj odgovor za svaku zonu.

Daljnje čitanje

Ovi članci opisuju korake u kontrolnim pločama WebOké; kod drugih pružatelja gumbi se drukčije zovu.

• Priručnik za WebOké 5.8: DNSSEC i DANE
• Što je DNSSEC?
• Aktiviranje DNSSEC-a
• Web stranica ili e-pošta ne rade nakon preseljenja ili izmjene DNS-a: provjerite svoju domenu