Doména nemá zapnuté DNSSEC

Co to je

DNSSEC je podpis DNS odpovědí. Dovolí počítači ověřit, že odpověď na dotaz „kde je web example.cz“ opravdu pochází od vás a cestou ji nikdo nezměnil. Váš DNS server zónu podepíše klíčem (záznam DNSKEY) a otisk klíče (záznam DS) se uloží u registru domény.

Dívali jsme se jen na veřejné DNS: zda má zóna záznam DNSKEY. Nekontrolujeme, jestli je řetěz podpisů až ke kořeni správný.

Proč je to problém

Bez DNSSEC jde falešnou odpověď podvrhnout, například otrávením cache u poskytovatele připojení. Návštěvník nebo e-mailový server pak míří na cizí adresu.

Nejde o aktivní únik. Je to chybějící vrstva ochrany, proto doporučení.
DNSSEC nešifruje a neověřuje obsah webu. Chrání jen pravost DNS odpovědí.
Na této vrstvě stojí i DANE a některé další ochrany pošty.

Jak to opravit

1. Zapněte podepisování u DNS hostingu

U poskytovatele, který spravuje vaše DNS (registrátor, Cloudflare, Wedos a další), hledejte volbu „DNSSEC“. Po zapnutí zobrazí údaje záznamu DS: key tag, algoritmus, typ otisku a otisk.

2. Vložte záznam DS u registru

Pokud je DNS i registrace domény na jednom místě, často to proběhne samo. Jinak zadejte údaje DS v administraci registrátora. Doména .cz je v tom v pořádku: správce CZ.NIC DNSSEC podporuje a umí i automatickou aktualizaci DS ze záznamů CDS/CDNSKEY, když je váš DNS hosting publikuje.

3. Ověřte

dig +short DNSKEY example.cz
dig +short DS example.cz

Oba příkazy mají vrátit neprázdný výsledek.

Pozor při stěhování DNS

Když zapnete DNSSEC a pak přesunete DNS jinam, zatímco záznam DS u registru zůstane, doména přestane fungovat pro každého, kdo podpisy ověřuje. Před změnou DNS hostingu nejdřív odstraňte DS u registru, nebo klíče přeneste.