DNSSEC Doğrulaması - DNS Cevabının Gerçek Olduğunu Nasıl Biliyoruz?
DNSSEC chain of trust, DS, DNSKEY ve RRSIG kayıtları üzerinden doğrulama mantığını anlatıyoruz.
Hakan E. · · Akademi
DNSSEC'in amacı DNS cevabını şifrelemek değildir. Amaç gelen kaydın yetkili zone tarafından imzalandığını ve yolda değiştirilmediğini doğrulamaktır. Zone içindeki DNSKEY anahtarları kayıtları imzalar, RRSIG imzayı taşır ve üst zone'daki DS kaydı child zone'un anahtarına güven zinciri kurar. Zincir root trust anchor'a kadar takip edilir.
Validating resolver bir A kaydı aldığında yalnızca IP adresini kabul etmekle yetinmez. İmzanın doğru anahtarla üretildiğini, anahtarın DS kaydıyla eşleştiğini ve zincirin üst katmanlarda bozulmadığını kontrol eder. NSEC ve NSEC3 ise bir kaydın bulunmadığını bile kriptografik olarak kanıtlamaya yarar. DNS dünyası, yokluğun belgesini bile istiyor.
Operasyon tarafında en sık problem key rollover ve yanlış DS kaydıdır. Zone doğru çalışırken parent tarafında eski DS bırakılırsa validating resolver için domain bir anda yokmuş gibi davranabilir. DNSSEC güvenliği artırır, ama anahtar yönetimini ihmal ederseniz domain'inizi kendi ellerinizle çok güvenli biçimde erişilemez yapabilirsiniz.