Doména nemá zapnuté DNSSEC

Čo to je

DNSSEC je podpis DNS odpovedí. Umožní počítaču overiť, že odpoveď na otázku „kde je web example.sk“ naozaj pochádza od vás a cestou ju nikto nezmenil. Váš DNS server zónu podpíše kľúčom (záznam DNSKEY) a odtlačok kľúča (záznam DS) sa uloží v registri domény.

Pozerali sme sa len na verejné DNS: či má zóna záznam DNSKEY. Nekontrolujeme, či je reťaz podpisov až ku koreňu správna.

Prečo je to problém

Bez DNSSEC sa dá falošná odpoveď podvrhnúť, napríklad otrávením cache u poskytovateľa pripojenia. Návštevník alebo e-mailový server potom mieri na cudziu adresu.

Nejde o aktívny únik. Je to chýbajúca vrstva ochrany, preto odporúčanie.
DNSSEC nešifruje a neoveruje obsah webu. Chráni len pravosť DNS odpovedí.
Na tejto vrstve stojí aj DANE a niektoré ďalšie ochrany pošty.

Ako to opraviť

1. Zapnite podpisovanie u DNS hostingu

U poskytovateľa, ktorý spravuje vaše DNS (registrátor, Cloudflare a ďalší), hľadajte voľbu „DNSSEC“. Po zapnutí zobrazí údaje záznamu DS: key tag, algoritmus, typ odtlačku a odtlačok.

2. Vložte záznam DS v registri

Ak je DNS aj registrácia domény na jednom mieste, často to prebehne samo. Inak zadajte údaje DS v administrácii registrátora. Pri doméne .cz je to v poriadku: správca CZ.NIC DNSSEC podporuje a vie aj automatickú aktualizáciu DS zo záznamov CDS/CDNSKEY, keď ich váš DNS hosting publikuje. Pre doménu .sk sa spýtajte svojho registrátora, ako DS zadáva.

3. Overte

dig +short DNSKEY example.sk
dig +short DS example.sk

Oba príkazy majú vrátiť neprázdny výsledok.

Pozor pri sťahovaní DNS

Keď zapnete DNSSEC a potom presuniete DNS inam, kým záznam DS v registri zostane, doména prestane fungovať pre každého, kto podpisy overuje. Pred zmenou DNS hostingu najprv odstráňte DS v registri, alebo kľúče preneste.