Что такое DNSSEC? |

Что такое dnssec

Система доменных имен (DNS) была придумана в 1980 годах. Именно ей мы обязаны возможностью переходить на сайты, вводя в строку браузера не IP-адреса, а буквенные имена. В 1990 годах в DNS была обнаружена серьезная уязвимость. Она позволяла мошенникам направить часть пользователей сайта на его копию либо вообще на другой сайт. При этом редкий пользователь мог заподозрить подвох, потому что в строке браузера был указан корректный адрес.

В 2005 году была разработана технология, которая устраняет уязвимости системы доменных имен. Она так и называется — «Расширенная безопасность DNS» (DNS Security Extensions, DNSSEC).

Что такое dnssec?

Signing a domain zone

To start using DNSSEC protection of your DNS zone, sign this zone. Plesk
signs the zone with an automatically generated signatures using two
pairs of asymmetric keys, the Key Signing Key (KSK) and the Zone Signing
Key (ZSK).

To sign a domain zone:

1. Select the domain in Websites & Domains.

2. Go to DNSSEC and click Sign the DNS Zone.

3. If the zone has never been signed before, Plesk prompts you to
   generate the keys that will be used to create a signature.

   You can use the default values or specify custom values. See
   Recommended Values below.

4. If you previously signed the DNS zone, you have the choice to use
   previously generated keys or generate new ones. If you opt for new
   keys, you can either use the default values or specify custom values.
   See Recommended Values below.

   Recommended values of KSK and ZSK generation settings:

5. In the end of the signing procedure, Plesk displays DS records, which
   contain hashes of the Key Signing Keys used for signing the zone.

   Copy the DS resource records to Clipboard and then add them to the
   parent domain zone. See Updating the DS Records in the Parent Zone
   below.

Unsigning a domain zone

Unsigning a domain zone turns off DNSSEC protection for that zone. You
may need to unsign a zone if the keys were compromised, and then sign
the zone again using new keys.

To unsign a domain zone:

1. Go to Websites & Domains > select a domain > DNSSEC and click
   Unsign.
2. Delete the DS resource records from the parent zone. Otherwise, the
   domain will not resolve.

Note: When you unsign a zone, the keys are not deleted from Plesk. You can
sign the zone again using the same keys.

Updating the ds records in the parent zone

If the parent zone contains outdated DS records, the domain name is no
longer resolved by the DNS service.

You will need to manually add or update DS records in the parent domain
zone in all cases when DNSSEC keys were updated, namely:

• You signed a domain zone using newly generated keys.
• A KSK (Key Signing Key) rollover event took place.

Plesk sends you notifications and gives you some time to update the DS
records — this period of time is equal to one KSK rollover period.
During this period, the previous DS records are still valid.

If you unsigned the domain zone, you need to manually delete DS records
in the parent domain zone.

To update DS records in the parent zone:

For a domain in Plesk, whose parent zone is outside Plesk, update DS
records at the domain’s registrar.

For a subdomain of a domain hosted in Plesk and having the DNS zone in
Plesk:

1. Go to DNS settings of the parent domain (Websites & Domains > go
   to the parent domain > DNS Settings).
2. Add new records of the DS type (Add Record) and paste the
   values that Plesk displays in the DS resource records box in the
   DNSSEC settings of the subdomain.

Viewing dnskey resource records

You might need to retrieve DNSKEY resource records, which contain public
parts of Key Signing Keys used by a domain.

To display DNSKEY records:

1. Go to Websites & Domains > select a domain > DNSSEC.
2. Click View DNSKEY Records.

Бесплатный dns-хостинг и доменные имена, неограниченные записи — galaxydata

Защитите сайт от атак на dns-серверы с новой услугой dnssec!

Как работает dnssec

Если используется DNSSEC, один DNS-сервер будет проверять ответы другого DNS-сервера на корректность. Некорректные ответы будут вызывать ошибку.

DNSSEC подписывает ресурсные записи (о связке IP-адреса и доменного имени; псевдонимах и др.), используя криптографию. То есть к ресурсной записи добавляется цифровая подпись, сгенерированная по одному из определенных ICANN криптографических алгоритмов.

У цифровой подписи есть отпечаток. Он хранится в записях зоны верхнего уровня. С помощью этого отпечатка и открытого ключа другой DNS-сервер проверяет достоверность записей в зоне. Если проверка не проходит, сервер выдаёт ошибку и не переводит пользователей на сайт. Подробнее о работе технологии на сайте ICANN.

Как хакеры используют уязвимости dns

Бреши в безопасности системы доменных имен обусловлены ее природой. DNS-серверы сообщают друг другу информацию о нахождении того или иного сайта и для ускорения часто кешируют данные. То есть сохраняют сведения о его местонахождении у себя в памяти, чтобы лишний раз не делать запросы к другим серверам и работать быстрее.

Через уязвимость в конфигурации DNS злоумышленник может “отравить” кеш DNS-сервера: сообщить ему некорректные сведения о расположении сайта. DNS-сервер эти данные сохранит и будет направлять всех проходящих через него пользователей на сайт-подделку. Такой тип атаки называется “отравление кеша” или “атака Каминского” по имени открывшего ее исследователя безопасности.

Так как преобразование идет только для одного DNS-сервера, круг пострадавших пользователей ограничен, но все равно это могут быть тысячи людей.

Когда необходим dnssec

DNSSEC необходима для всех сайтов, в подделке которых могут быть заинтересованы злоумышленники. В первую очередь это сайты финансовых организаций и крупных интернет-магазинов, которые собирают персональные данные и данные банковских карт клиентов.

Направив пользователей на сайт-подделку, мошенники могут украсть данные, чтобы перепродать их или использовать для преступных целей. Под угрозой также сайты популярных медиа и блоги: они интересны прежде всего массовой аудиторией, на перехвате которой можно заработать.

Обращаемся к истокам

Мы уже уделяли время фундаментальному понятию DNS. Поскольку DNSSEC непосредственно закрывает недостатки функционирования системы доменных имен — обратимся к ее механизму еще раз.

Ограничения

По возможностямТехнология DNSSEC не защищает данные от перехвата и не защищает сайт от DDoS-атак. Для этих целей в ISPmanager есть другие инструменты: Let’s encrypt для подключения SSL, Cloudflare и DDoS-GUARD для защиты от DDoS-атак.

Подписание доменной зоны

Включите опцию Домены → Доменные имена → меню → Изменить → Подписать домен и нажмите Ok. Запустится фоновый процесс подписания доменной зоны. В ходе процесса генерируются KSK и ZSK ключи. На время работы процесса в Домены → Доменные имена → столбец Состояние отображается иконка . При успешном подписании доменной зоны иконка изменится на → Изменить → Подписать домен и нажмите Ok. Запустится фоновый процесс подписания доменной зоны. В ходе процесса генерируются KSK и ZSK ключи. На время работы процесса в Домены → Доменные имена → столбец Состояние отображается иконка . При успешном подписании доменной зоны иконка изменится на . Для домена становится доступной кнопка DNSSEC и отображается баннер «Есть неопубликованные DS-записи».

Подписание доменной зоны доступно пользователям с уровнем доступа «Пользователь» или «Администратор».

Проблемы в раю

Система доменных имен изначально не подразумевала применения механизмов защиты, поскольку создателями преследовались иные цели. Недостатки в DNS вскрылись спустя несколько лет после ее реализации и вылились в масштабные исследования после публикации Стивеном Беллоуином первой статьи на эту тему.

А настоящая шумиха поднялась в 2008 году, когда Дэн Камински показал, что может повлечь за собой незащищенность системы доменных имен. В чем же состоит проблема, которая взбудоражила интернет-сообщество? DNS оказалась уязвима для MITM-атаки (или «человек посередине»)

и отравления DNS-кэша. В итоге это приводит к перенаправлению на мошеннические сайты в результате использования поддельных данных. На данный момент у хакеров целый арсенал инструментов для того, чтобы нанести вред, если передача данных не защищена с помощью DNSSEC.

Проверка максимального значения ttl в доменной зоне

Для правильного обновления ключей нужно, чтобы максимальное значение TTL в доменной зоне имело значение менее 2 недель (1209600 секунд). Проверьте значения TTL ресурсных записей доменной зоны в Домены → Доменные имена → Управлять DNS-записями → столбец TTL, сек. По умолчанию TTL-зоны равно 1 часу (3600 секунд).

Создание цепочки доверия

Чтобы создать цепочку доверия, нужно передать DS-запись и, если требует регистратор, DNSKEY-записи в родительскую доменную зону. Эти записи доступны в Домены → Доменные имена → DNSSEC.

Для каждой записи из списка DS-записей отображаются данные:

• Начало записи — включает наименование домена, класс и тип ресурсной DS-записи;
• Тег — идентификатор ключа;
• Алгоритм — идентификатор алгоритма шифрования;
• Тип дайджеста — идентификатор типа отпечатка KSK-ключа;
• Дайджест — содержимое отпечатка.

Показать DNSKEY — по нажатию кнопки отображается таблица DNSKEY-записей. Для каждой записи из списка DNSKEY-записей отображаются следующие данные:

• Начало записи —  включает наименование домена, класс и тип ресурсной DNSKEY-записи;
• Флаги — идентификатор типа ключа;
• Протокол — номер протокола DNSSEC;
• Алгоритм — идентификатор алгоритма шифрования;
• Публичный ключ — открытая часть ключа;
• Тег — идентификатор KSK-ключа.

Передача DS-записей осуществляется одним из следующих образов:

1. Добавить записи через веб-интерфейс панели управления доменом у регистратора доменных имён. Скопируйте DS-записи из ISPmanager. Если у регистратора записи добавляются в виде строк, то объедините значения всех столбцов из таблицы DS-записей в ISPmanager, вставляя пробелы между ними. Если нужно, то также скопируйте DNSKEY-записи.
2. Если доменная зона находится вместе с родительской зоной на одном и том же сервере под управлением ISPmanager, нажмите Передать DS-записи в родительскую зону.
3. Если подписываемый домен является родительским для домена, находящегося на стороннем сервере, создайте DS-записи дочернего домена в записях родительского домена: Домены → Доменные имена → Управлять DNS-записями → Создать. Подробнее см. в статье Создание ресурсных записей доменной зоны.

Один раз в неделю ISPmanager проверяет наличие DS-записей в родительской зоне. Необходимо, чтобы было передано хотя бы по одной DS-записи для каждого KSK-ключа. Успешное прохождение проверки завершает процесс включения защиты DNSSEC. В Домены → Доменные имена → столбец Состояние появится иконка