Hľadanie v komunite

DNSSEC (Domain Name System Security Extensions) slúži ako ochrana DNS záznamov domény proti ich zmene počas prenosu a podvrhnutiu zmenených záznamov. V podstate je to elektronický podpis, podobne ako DKIM u emailov a funguje podobne - pomocou DNSSEC záznamu sa overuje pravosť DNS záznamov domény. Vďaka DNSSEC vám alebo návštevníkom vašej stránky útočník nedokáže podvrhnúť IP adresu svojho servera, kde by napodobil vašu stránku a kradol napríklad prihlasovacie údaje. DNSSEC v praxi funguje tak, že používa asymetrické šifrovanie. Vlastník domény vygeneruje privátne a verejné kľúče. Privátnymi kľúčmi sa podpisujú technické údaje - DNS záznamy, ktoré aj s podpisom uverejňujú naše servery. Verejným kľúčom sa potom overuje pravosť tohto podpisu. Registre doménových koncoviek (napr. u .SK domény je to sk-nic.sk) potom zverejňujú takzvané DS (Delegation Signer) záznamy ktoré určujú, aký kľúč je pre doménu povolený. Tieto všetky veci za vás urobí náš systém automaticky. Krátke video od SK-NIC ako DNSSEC funguje Podrobnejšie informácie o DNSSEC nájdete na stránke SK-NIC. Ako si aktivovať DNSSEC? Novým .SK a .CZ doménam aktivujeme DNSSEC automaticky, či vaša slovenská alebo česká doména má aktívny DNSSEC zistíte napr. pomocou nastavení v Control Paneli. Prihláste sa do Control Panela a pri doméne kliknite na službu DNS záznamy: Následne kliknite v sekcii DNS záznamy na kartu DNSSEC a uvidíte stav tejto služby (ak pri .SK doméne uvidíte hlásenie Doména nemôže používať nastavenie DNSSEC, uistite sa, či doména používa naše (EXO Hosting) menné servery): EXO Hosting v súvislosti s DNSSEC používa službu CDS skenovanie, vďaka čomu vieme podpísať aj domény, ktoré využívajú naše menné servery, ale nie sme ich registrátorom. V DNS záznamoch zverejňujeme CDS a CDNSKEY, registre ktoré podporujú CDS skenovanie si tieto záznamy kontrolujú a ak ich u domény nájdu a nedôjde k ich zmene (alebo nefunkčnosti) počas nasledujúcich niekoľkých dní (.SK - 3 dni, .CZ - 7 dní ), tak zverejnia pre doménu DS záznam, vďaka čomu sa vaša doména stane zabezpečenou DNSSECom. CDS je zatiaľ podporované na doménach .SK (Slovensko), .CZ (Česko), .CH (Švajčiarsko), .CR (Kostarika) a .LI (Lichtenštajnsko). V EXO Hosting CDS podporujeme zatiaľ len pri .SK a .CZ doménach. Keď kliknete na Zapnúť (CDS), stav sa zmení do pár sekúnd: Následne stav DNSSEC - CDS si môžete overiť napr. na stránke dnssec-analyzer.verisignlabs.com, príklad záznamov, ak doména nemá aktívny DNSSEC - CDS (čo bude trvať niekoľko hodín a červených záznamov bude postupne ubúdať na úkor zelených) Keď na .SK doméne sa aktivuje záznam DNSSEC - CDS (po 72 hodinách, ak všetko prebehlo v poriadku), tak vám do schránky (uvedenej vo WHOIS) príde informačný email: V prípade .CZ domén vám príde email v podobnom znení: Po zhruba ďalšej hodine navyše (pokým sa aktuálne dáta nacachujú), sa stav zmení a mali by ste vidieť všetko v zelenom: Od tejto chvíle sú vaše DNS záznamy domény zabezpečené. Registrátor domény a správca menných serverov Ak máte doménu a menné servery u toho istého prevádzkovateľa, všetko si riešite na jeho strane. Čo ale robiť v prípade, ak napríklad chcete využívať naše menné servery (a DNS), ale doménu spravuje iný registrátor? DNSSEC sa týka oboch strán, ale každá má na starosti inú časť: Prevádzkovateľ menných serverov (a DNS) aktivuje DNSSEC pre samotnú DNS zónu. Vygeneruje kryptografické kľúče a začne DNS záznamy podpisovať. Výsledkom je okrem iného verejný DNSKEY a z neho odvodené údaje pre DS záznam. Registrátor domény zabezpečí vloženie DS záznamu do nadradenej DNS zóny prostredníctvom registra danej TLD. Tým sa vytvorí reťaz dôvery medzi nadradenou zónou (napr. .SK) a DNS zónou domény. Čiže zjednodušene: DNSSEC zapne a DNS zónu podpisuje ten, kto prevádzkuje autoritatívne menné servery. Registrátor následne publikuje DS záznam v registri domény. Zmena menných serverov Čo robiť v prípade, ak existuje DNSSEC záznam iného registrátora a v Control Paneli máte zapnutý DNSSEC? Na obrázku vyššie v návode môžete vidieť položku: Zapnuté (CDS). Ak registrátor resp. register CDS podporuje, môže tento údaj automaticky načítať a podľa neho vytvoriť alebo aktualizovať DS záznam. Najväčší význam to má pri rotácii DNSSEC kľúčov, čo je aj prípad v prípade zmeny menných serverov. Keď DNS provider zmení KSK/DNSKEY, nemusí sa nový DS manuálne prenášať cez registrátora - nový údaj publikuje ako CDS a podporujúci systém môže DS automaticky aktualizovať. Súvisiaci je aj CDNSKEY. Rozdiel je jednoduchý: CDS obsahuje už vypočítaný DS, zatiaľ čo CDNSKEY obsahuje verejný DNSKEY, z ktorého si nadradená strana môže DS vypočítať. V skratke, CDS (Child DS) je DNS záznam používaný na automatizovanú správu DNSSEC. Umožňuje doméne oznámiť registrátorovi resp. nadradenému registru, aký DS záznam má byť publikovaný alebo aktualizovaný, čo zjednodušuje najmä výmenu DNSSEC kľúčov. Takže v tomto prípade stačí, keď registrátora DNS požiadate o odstránenie jeho DNSSEC záznamu a register domény (v prípade .SK domény je to SK-NIC) si pri skenovaní záznamov tento záznam automaticky aktualizuje. Majte na pamäti, že tento proces v prípade .SK domén môže trvať až 3 dni a v prípade .CZ domén až 7 dní.