A Domain Name System gyorsnak készült. Nem biztonságosnak. Amikor az 1980-as években megtervezték a DNS-t, senki nem számolt azzal, hogy a támadók hamis DNS-válaszokkal próbálják majd a látogatóidat hamis weboldalakra irányítani. A DNSSEC, a DNS Security Extensions rövidítése, ennek a résnek a betömésére jött létre. Digitális aláírásokat ad a DNS-rekordokhoz, így a DNS-szerver minden válasza ellenőrizhető hitelesség szempontjából, mielőtt a böngésző megbízna benne.
Mi az a DNSSEC?
A DNSSEC a DNS-protokollhoz adott biztonsági kiterjesztések összessége. Úgy működik, hogy kriptográfiai aláírást csatol a domained minden DNS-rekordjához. Amikor egy feloldó lekérdezi a domainedet, ellenőrzi, hogy az aláírás egyezik-e, mielőtt elfogadná a választ. Ha az aláírás hiányzik vagy nem egyezik, a választ elutasítja. Ez megakadályozza, hogy a támadók hamis DNS-válaszokat juttassanak a rendszerbe.
A DNSSEC nem változtatja meg, hogyan működik a DNS. A lekérdezési folyamat ugyanaz. A domained továbbra is IP-címre oldódik fel DNS-szerverek láncán keresztül. A különbség az, hogy a lánc minden lépése most már ellenőrizhető. A feloldó nem egyszerűen megbízik a válaszban. Kriptográfiai aláírást ellenőriz, hogy megerősítse, a válasz jogosult forrásból jött, és útközben nem módosították.
Milyen problémát old meg a DNSSEC?
DNSSEC nélkül a DNS-válaszokat kérdés nélkül elfogadják. Nincs beépített mód annak ellenőrzésére, hogy a válasz a megfelelő szervertől jött-e, vagy útközben megváltoztatták-e. Ez rést nyit egy meghatározott támadástípusnak, amelyet DNS cache poisoningnak, más néven DNS-hamisításnak (DNS spoofing) neveznek.
Cache poisoning támadásnál a támadó hamis DNS-válaszokat küld egy feloldónak, mielőtt a valódi válasz megérkezne. A feloldó eltárolja a hamis választ a gyorsítótárában, és mindenkinek azt adja, aki lekérdezi azt a domaint. Minden látogató, aki beírja a domainedet a böngészőjébe, a támadó által irányított szerverre kerül, a valódi weboldalad helyett.
A hamis oldal azonosnak látszhat a tiéddel. A látogatók belépési adatokat, fizetési adatokat vagy személyes adatokat adhatnak meg anélkül, hogy tudnák, hogy egy teljesen másik szerveren vannak. A támadás láthatatlan a látogató számára, mert a böngészőjében lévő URL még mindig a domainnevedet mutatja.
A DNSSEC ezt úgy akadályozza meg, hogy észlelhetővé teszi a hamis válaszokat. Ha az aláírás nem egyezik, a feloldó elutasítja a választ, és a látogató nem kerül hamis célhelyre.
Hogyan működik a DNSSEC?
A DNSSEC nyilvános és privát kulcsok rendszerét használja a DNS-rekordok aláírására. Íme, hogyan működik a folyamat nagy vonalakban.
Amikor bekapcsolod a DNSSEC-et, a DNS-szolgáltatód kriptográfiai kulcspárt generál a domainedhez. A privát kulccsal digitális aláírást hoznak létre minden DNS-rekordhoz. A nyilvános kulcsot magát DNS-rekordként közzéteszik, hogy a feloldók hozzáférjenek.
Amikor egy feloldó lekérdezi a domainedet, megkapja a DNS-választ az aláírással együtt. A feloldó ezután a nyilvános kulcs segítségével ellenőrzi, hogy az aláírás egyezik-e a válaszban lévő adatokkal. Ha minden rendben van, a választ megbízhatónak tekinti. Ha az aláírás érvénytelen vagy hiányzik, a feloldó megbízhatatlannak kezeli a választ, és nem adja tovább a böngészőnek.
Ez az ellenőrzés bizalmi láncon keresztül működik. A domained nyilvános kulcsára a szülőzónában egy DS (Delegation Signer) rekord hivatkozik. Például ha a domained cegnev.com, a .com zóna tartalmaz egy DS rekordot, amely a domained nyilvános kulcsára mutat. Maga a .com zóna alá van írva, és a gyökérzóna ellenőrzi. A lánc minden szintje ellenőrzi az alatta lévőt, egészen a gyökértől a te konkrét domainedig.
Mi történik DNSSEC nélkül?
DNSSEC nélkül a domained minden DNS-válasza aláíratlan. A feloldók elfogadják azt a választ, amelyik először érkezik, anélkül, hogy megerősíthetnék, hogy jogos forrásból jött. Ez azt jelenti, hogy egy jól elhelyezkedő támadó hamis válaszokat csúsztathat a rendszerbe, és riasztás kiváltása nélkül átirányíthatja a látogatóidat.
A legtöbb kis weboldalnál a célzott DNS-hamisításos támadás kockázata alacsony. A támadók jellemzően nagy értékű célpontokat keresnek, például bankokat, e-mail-szolgáltatókat és nagy webshopplatformokat. De a kockázat nem nulla. A nyilvános Wi-Fi hálózatok, a feltört routerek és bizonyos feloldószoftverek sebezhetőségei kisebb léptékben is lehetőséget teremthetnek a DNS-hamisításra.
A DNSSEC hiányának gyakorlati hatása a helyzetedtől függ. Ha érzékeny adatokat kezelsz, fizetést fogadsz, vagy a weboldalad az elsődleges ügyfélkapcsolati pontod, a plusz ellenőrzés megéri.
Kell neked DNSSEC a domainedhez?
Az őszinte válasz: attól függ. A DNSSEC valódi védelmet ad, de nem minden domainnek kötelező.
Kapcsold be a DNSSEC-et, ha az oldalad fizetést kezel, érzékeny információt gyűjt, vagy nagy láthatóságú domainen fut. A kormányzati weboldalaknak, pénzügyi szolgáltatásoknak és egészségügyi márkáknak mind hasznos, ha a DNSSEC aktív. Ha a domainbiztonság prioritás a márkád számára, a DNSSEC még egy érdemes réteg.
Lehet, hogy nincs rá azonnal szükséged, ha kisebb, információs oldalt futtatsz bejelentkezési funkció nélkül, és a regisztrátorod még nem támogatja a DNSSEC-et, vagy felárat kér érte. Sok weboldal működik nélküle, és jól megvan. Az SSL már titkosítja a kapcsolatot a látogató és a szerver között, ami védi az átvitel közbeni adatokat. A DNSSEC más problémát old meg, kifejezetten magának a DNS-lekérdezésnek az integritását.
Ha a regisztrátorod támogatja, és a beállítás egyszerű, nagyon kevés hátránya van a bekapcsolásnak. A védelem, amelyet ad, valódi, még ha az általa kezelt kockázat nem is érinti egyformán minden domaint.
Hogyan kapcsolod be a DNSSEC-et?
A DNSSEC bekapcsolása két helyen igényel lépést. Az első a DNS-szolgáltatód, ahol a domained DNS-rekordjait tárolják. A második a domainregisztrátorod, ahol a domained be van jegyezve.
Az általános lépések így néznek ki.
- Lépj be a DNS-szolgáltatódhoz, és kapcsold be a DNSSEC-et a domainedhez. Ez legenerálja a kriptográfiai kulcsokat, és elkezdi aláírni a DNS-rekordjaidat.
- Másold ki a DS rekordot, amelyet a DNS-szolgáltatód ad. Ez a rekord a domained nyilvános kulcsára hivatkozik.
- Lépj be a domainregisztrátorodhoz, és add hozzá a DS rekordot a domained beállításaihoz. Ez összeköti a domained DNSSEC-kulcsait a szülőzónával.
- Várd meg a propagációt. Mint minden DNS-rekordmódosítás, az új DS rekord elterjedése néhány órát vehet igénybe az interneten.
- Teszteld a beállítást online DNSSEC-ellenőrző eszközzel, hogy megerősítsd, minden működik.
Ha a regisztrátorod és a DNS-szolgáltatód ugyanaz a cég, a folyamat egyszerűbb. Egyes szolgáltatók mindkét lépést egy felületről kezelik. Mások megkövetelik, hogy két külön fiók között másold át a rekordokat.
A leggyakoribb hiba a beállításnál a DS rekord helytelen megadása. Mentés előtt ellenőrizd kétszer a key tag-et, az algoritmus számát, a digest típusát és a digest értékét. Bármelyik mezőben egy rossz számjegy megszakítja a bizalmi láncot, és elérhetetlenné teheti a domainedet, amíg a hibát ki nem javítják.
Mit nem csinál a DNSSEC?
A DNSSEC egyetlen konkrét problémát old meg: azt ellenőrzi, hogy a DNS-válaszok hitelesek. Fontos megérteni, mi esik kívül a hatókörén.
A DNSSEC nem titkosítja a DNS-lekérdezéseidet. Minden DNS-lekérdezés tartalma továbbra is látható bárki számára, aki figyeli a hálózatot. Ha a DNS-lekérdezések magánszférája számít neked, azt másik probléma, amelyet a DNS over HTTPS (DoH) vagy a DNS over TLS (DoT) old meg, nem a DNSSEC.
A DNSSEC nem titkosítja a látogató és a weboldalad közötti forgalmat. Ez az SSL-tanúsítvány feladata, amely titkosított kapcsolatot hoz létre HTTPS-en keresztül. A DNSSEC és az SSL a kapcsolat különböző szakaszaiban más-más dolgot véd.
A DNSSEC nem akadályoz meg minden típusú támadást a domained ellen. Nem állítja meg, hogy valaki ellopja a regisztrátori belépési adataidat, és átvigye a domainedet. Nem véd a márkádat megszemélyesítő adathalász e-mailek ellen. És nem blokkolja a DNS-szervereidre irányuló DDoS-támadásokat. Ezek ellen külön védelmekre van szükséged, például kétlépcsős azonosításra, domainzárolásra és DDoS-védelemre.
Miben különbözik a DNSSEC az SSL-től?
A DNSSEC és az SSL egyaránt biztonsági réteg, de a látogató és a weboldalad közötti kapcsolat különböző részeit védik.
Az SSL (és utódja, a TLS) titkosítja a látogató böngészője és a webszervered között áramló adatokat. A kapcsolat létrejötte után minden, amit a látogató küld és kap, védett a lehallgatás ellen. Az SSL azt is ellenőrzi, hogy a szerver, amellyel a látogató beszél, érvényes tanúsítvánnyal rendelkezik a domainedhez.
A DNSSEC azt a lépést védi, amely az SSL működésbe lépése előtt történik. Amikor egy látogató beírja a domainedet, a böngésző előbb a DNS-en keresztül kikeresi az IP-címet. A DNSSEC gondoskodik róla, hogy ez a lekérdezés a helyes IP-címet adja. Nélküle a támadó teljesen másik szerverre irányíthatná a látogatót, olyanra, amelynek akár saját SSL-tanúsítványa is lehet egy hasonló nevű domainhez.
Mindkét réteg szolgál valamit. Az SSL a beszélgetést védi. A DNSSEC azt az irányt, amelyet a látogató a beszélgetés elkezdéséhez vesz. Ha mindkettőt használod, a látogatóid a legerősebb biztosítékot kapják arra, hogy a valódi oldaladon vannak, és az adataik biztonságban vannak.
Így kezeli a WEMASY a DNSSEC-et
A WEMASY-ban domainnevet a domainregisztrációval szerezhetsz, a weboldalaid oldalait pedig a weboldalépítőben építheted meg. Az egyes csomagok tartalmát megnézheted az árak oldalon.
A 6. modul összefoglalása
Ez a fejezet lezárja a domainbiztonsági modult. Az előző fejezetekben a teljes képet végigjártad. Megtanultad, mit jelent a domainbiztonság, hogyan tartja a domain zárolása, az adatvédelem és a megújítási tudatosság a domainedet a saját irányításod alatt, és milyen konkrét fenyegetések, például az eltérítés, a spekuláció és a megújítási csalások célozzák a domaintulajdonosokat. A DNSSEC az utolsó réteget adja azzal, hogy magát a DNS-lekérdezést védi, azt az egy lépést, amely összeköti a domainnevedet a tényleges weboldaladdal. Mindezen védelmek mellett a domained a regisztrációtól a feloldásig védett.
Gyakran ismételt kérdések a DNSSEC-ről
Elronthatja a DNSSEC a weboldalamat, ha rosszul van beállítva?
Igen. Ha a regisztrátornál lévő DS rekord nem egyezik a DNS-szolgáltatódnál lévő kulcsokkal, a DNSSEC-et ellenőrző feloldók teljesen elutasítják a domained DNS-válaszait. Ez elérhetetlenné teheti a weboldaladat azoknak a látogatóknak, akiknek a feloldói érvényesítik a DNSSEC-et. Bekapcsolás után mindig teszteld a beállítást DNSSEC-ellenőrző eszközzel, és tartsd szinkronban a kulcsokat, ha DNS-szolgáltatót váltasz. A WEMASY weboldalépítőjében felépítheted az oldalaidat.
Lassítja a DNSSEC a weboldalamat?
A sebességre gyakorolt hatás minimális. A DNSSEC kis mennyiségű extra adatot ad a DNS-válaszokhoz az aláírások miatt, és a feloldók plusz ellenőrzési lépést végeznek. A gyakorlatban ez csak néhány ezredmásodpercet ad a DNS-lekérdezéshez. A látogatók nem fognak különbséget érezni az oldal betöltési idejében.
Minden regisztrátor támogatja a DNSSEC-et?
Nem mindegyik. A legtöbb nagy regisztrátor támogatja, de egyes kisebb vagy olcsóbb regisztrátorok még nem kínálják. A DNSSEC bekapcsolása előtt nézd meg a regisztrátorod dokumentációját vagy ügyfélszolgálati oldalát, hogy megerősítsd, engedik-e DS rekordok hozzáadását. Ha nem, lehet, hogy át kell vinned a domainedet olyan regisztrátorhoz, amelyik igen.
Mi történik a DNSSEC-kel, ha DNS-szolgáltatót váltok?
Ha DNS-szolgáltatót váltasz, frissítened kell a DNSSEC-konfigurációdat. Az új szolgáltató új kulcsokat generál, és a regisztrátornál lévő DS rekordot le kell cserélned az újra. Az átmenet alatt van egy időszak, amikor a régi DS rekord már nem egyezik az új kulcsokkal. Tervezd meg gondosan a váltást. Előbb távolítsd el a régi DS rekordot, várd meg a propagációt, költöztesd át a DNS-t, kapcsold be a DNSSEC-et az új szolgáltatónál, és csak utána add hozzá az új DS rekordot.
Ugyanaz a DNSSEC, mint a DNS over HTTPS?
Nem. Különböző problémákat oldanak meg. A DNSSEC azt ellenőrzi, hogy a DNS-válasz hiteles, és nem manipulálták. A DNS over HTTPS (DoH) magát a DNS-lekérdezést titkosítja, hogy senki, aki a hálózatodat figyeli, ne lássa, mely domaineket keresed. A DNSSEC az integritást védi. A DoH a magánszférát. Használhatók együtt, de az egyik nem helyettesíti a másikat.