DNSSEC-sjekk
Vi henter DS-postene i foreldresonen, sonens DNSKEY-sett og signaturene, og spør en validerende resolver om svaret valideres.
DNSSEC lar en resolver kontrollere at et DNS-svar virkelig kommer fra eieren av sonen. Det fungerer som en tillitskjede: foreldresonen (for eksempel .no) publiserer en DS-post med et fingeravtrykk av sonens nøkkelsigneringsnøkkel; sonen publiserer nøklene sine som DNSKEY-poster og signerer dataene med RRSIG-poster; en validerende resolver følger kjeden fra roten og nedover og setter AD-flagget på svar den kunne bekrefte.
Sjekken henter DS-postene hos forelderen, DNSKEY-settet og signaturene, og spør resolveren vår om svaret ble validert. Den kontrollerer også at nøkkel-ID-en i en DS-post passer med en nøkkel i sonen – det som oftest går galt når nøkler byttes, eller når et domene flytter til en ny DNS-leverandør.
Norid, som driver .no, støtter DNSSEC, og mange norske domener er signert. Et domene uten signatur er ikke ødelagt; det er bare ikke beskyttet mot forfalskede svar.
Ofte stilte spørsmål
Hva betyr «signert, men validerer ikke»?
Forelderen publiserer DS-poster, men resolveren godtok ikke signaturene i sonen. Validerende resolvere svarer da SERVFAIL, så domenet kan forsvinne for brukere av slike resolvere. En vanlig årsak er en DS-post som ble liggende igjen etter flytting til en DNS-leverandør med andre nøkler.
Trenger jeg DNSSEC?
Det beskytter mot forfalskede DNS-svar (cache poisoning) og kreves av enkelte sikkerhetsmekanismer, som DANE. Både DNS-leverandøren og registraren din må støtte det.
Hvorfor gjelder resultatet for www.example.no egentlig example.no?
DNSSEC settes opp per sone. Et vertsnavn i en sone dekkes av nøklene til den sonen, så sjekken rapporterer om sonen navnet ligger i.