DNS to jedna z podstawowych technologii internetu. Łączy znane użytkownikom nazwy domen z adresami IP serwerów. Gdy użytkownik otwiera stronę internetową, jego urządzenie wysyła zapytanie DNS i otrzymuje odpowiedź wskazującą, na który serwer należy skierować żądanie.
Jak jednak upewnić się, że odpowiedź jest prawdziwa i nikt jej nie podmienił?
Do tego służy DNSSEC (Domain Name System Security Extensions) — zestaw rozszerzeń DNS, który umożliwia weryfikację autentyczności odpowiedzi DNS za pomocą podpisów cyfrowych.
Jak działa DNSSEC?
Zwykły DNS odpowiada przede wszystkim na pytanie: „Jaki adres IP odpowiada tej domenie?”.
DNSSEC dodaje drugie pytanie: „Czy otrzymanej odpowiedzi można zaufać?”.
Rekordy DNS są podpisywane kluczami kryptograficznymi. Po otrzymaniu odpowiedzi system obsługujący DNSSEC może zweryfikować podpis i upewnić się, że dane rzeczywiście zostały opublikowane przez właściciela domeny lub jego dostawcę DNS i nie zostały zmienione podczas przesyłania.
Jeśli weryfikacja się nie powiedzie, odpowiedź DNS jest uznawana za niewiarygodną i może zostać odrzucona.
W ten sposób DNSSEC pomaga chronić przed atakami polegającymi na przekierowywaniu użytkowników na inny serwer za pomocą sfałszowanych odpowiedzi DNS.
Przed czym chroni DNSSEC?
Głównym zadaniem DNSSEC jest ochrona przed manipulacją danymi DNS.
Przykładowo osoba atakująca może próbować doprowadzić do sytuacji, w której użytkownik zamiast prawidłowego adresu IP domeny example.com otrzyma adres innego serwera. Może się na nim znajdować fałszywa strona służąca do kradzieży loginów, haseł lub innych danych.
DNSSEC umożliwia sprawdzenie, czy otrzymany rekord DNS odpowiada opublikowanej i podpisanej wersji.
Jest to szczególnie ważne w przypadku:
- stron firmowych;
- sklepów internetowych;
- usług bankowych i finansowych;
- domen pocztowych;
- usług uwierzytelniania;
- domen wykorzystywanych przez ważne usługi online.
DNSSEC nie zastępuje certyfikatu SSL
DNSSEC i HTTPS rozwiązują różne problemy.
DNSSEC chroni integralność danych DNS, natomiast HTTPS szyfruje połączenie między przeglądarką użytkownika a stroną internetową i umożliwia potwierdzenie autentyczności samej strony za pomocą certyfikatu TLS.
Dlatego DNSSEC nie jest alternatywą dla certyfikatu SSL. Technologie te wzajemnie się uzupełniają.
Można to przedstawić w uproszczeniu w następujący sposób:
DNSSEC → prawidłowy adres IP
HTTPS → bezpieczne połączenie ze stroną internetową
W przypadku nowoczesnej strony internetowej przydatne są oba poziomy ochrony.
Czy warto włączyć DNSSEC dla domeny?
Jeśli rozszerzenie domeny i dostawca DNS obsługują DNSSEC, jego włączenie jest dobrą praktyką w zakresie bezpieczeństwa.
DNSSEC nie wymaga przy tym żadnych zmian w kodzie strony internetowej. Podpisywanie odbywa się na poziomie infrastruktury DNS, a odwiedzający stronę nie muszą instalować dodatkowego oprogramowania.
Najważniejsze jest prawidłowe skonfigurowanie DNSSEC i upewnienie się, że łańcuch zaufania dla domeny działa poprawnie.
Jeśli dopiero wybierasz nazwę dla nowego projektu, możesz zarejestrować domenę za pośrednictwem serwisu rejestracji domen HOSTLIFE.
Czym jest łańcuch zaufania DNSSEC?
DNSSEC wykorzystuje hierarchiczny system zaufania.
Dla domeny tworzony jest specjalny rekord DS (Delegation Signer), który łączy ją z kluczem kryptograficznym DNSSEC. Dzięki temu resolver weryfikujący dane może kolejno potwierdzać ich autentyczność.
Dlatego podczas przenoszenia domeny między rejestratorami lub zmiany dostawcy DNS ważne jest również prawidłowe przeniesienie ustawień DNSSEC. Błąd w łańcuchu zaufania może spowodować, że domena nie będzie prawidłowo rozwiązywana u użytkowników korzystających z resolverów weryfikujących DNSSEC.
DNSSEC a infrastruktura strony internetowej
Bezpieczeństwo strony internetowej składa się z kilku warstw. DNSSEC chroni jedną z nich — przesyłanie i weryfikację danych DNS. HTTPS zabezpiecza połączenie, a infrastruktura serwerowa odpowiada za dostępność i stabilne działanie samej strony.
Dlatego podczas uruchamiania nowego projektu warto wcześniej zaplanować nie tylko rejestrację domeny, ale także miejsce jej hostowania, certyfikat SSL, kopie zapasowe i pozostałe elementy infrastruktury.
HOSTLIFE oferuje rejestrację domen, hosting współdzielony i inne rozwiązania do hostowania projektów internetowych.
Podsumowanie
DNSSEC to dodatkowa warstwa ochrony domeny przed podmianą rekordów DNS.
Nie chroni strony przed wszystkimi rodzajami ataków i nie zastępuje HTTPS, ale pomaga zagwarantować, że odpowiedź DNS rzeczywiście odpowiada opublikowanym danym.
Jeśli domena jest wykorzystywana w działalności biznesowej, sklepie internetowym, firmowej poczcie elektronicznej lub innej ważnej usłudze, warto traktować DNSSEC jako jeden z podstawowych środków ochrony infrastruktury domenowej.
