Sprawdzanie DNSSEC

DNSSEC podpisuje odpowiedzi udzielone przez Twoją domenę, aby klient mógł stwierdzić, że nie zostały one po drodze sfałszowane. Niedokończona konfiguracja jest gorsza niż żadna: zepsuty podpis nie powoduje, że domena jest mniej bezpieczna, a wręcz sprawia, że ​​zniknie. Sprawdź kontrolowaną przez siebie domenę i zobacz, czy DNSSEC jest włączony i czy się sprawdza.

Szybka kontrola DNSSEC

Szybkie sprawdzenie, czy strefa jest podpisana i czy moduł rozpoznawania nazw akceptuje podpisy. Podpisaćin, aby uzyskać pełną kontrolę DNS, zaplanowane uruchomienia i zachowaną historię.

Czym jest DNSSEC, w jednym akapicie

Zwykłe odpowiedzi DNS nie są podpisane: osoba przeprowadzająca rozpoznawanie odpowiedzi wierzy, że cokolwiek dotrze do niego jako pierwsze. DNSSEC dodajepodpisy do odpowiedzi i łańcuch zaufania prowadzący od korzenia, przez domenę najwyższego poziomu, aż do Twojej strefy. Twoja strefa publikuje swoje klucze publiczne; rodzic publikuje ich odciski palców (zapis DS). Sprawdzający poprawność algorytm przechodzi przez ten łańcuch i odrzuca odpowiedź, która nie pasuje.

Pięć powodów, dla których warto sprawdzić własny DNSSEC

01

Sprawdź, czy DNSSEC jest w ogóle włączony

U większości dostawców jest ona domyślnie wyłączona i tak musi byćwłączony w dwóch miejscach – u dostawcy DNS, który podpisuje strefę, oraz u rejestratora, który publikuje rekord DS u rodzica. Wykonanie tylko jednego z nich pozostawia domenę podpisaną na papierze i w praktyce niezabezpieczoną. Sprawdzenie z zewnątrz to jedyny sposób, aby zobaczyć wynik obu.

02

Zerwany łańcuch powoduje, że domena jest offline

To jest część, która sprawia, że ​​DNSSEC różni się od wszystkich innych rekordów na tej liście. Jeśli podpisy nie zgadzają się z rekordem DS – po migracji dostawcy, przeniesieniu klucza lub zmianie rejestratora – weryfikujące osoby rozpoznawające odpowiedź odpowiadają błędem, a nie złym adresem. Domena przestaje rozpoznawać dla wszystkich korzystających z takiego mechanizmu rozpoznawania nazw, który obejmuje dużą część Internetu i nic na serwerze nie jest nie tak.

03

Włączone to nie to samojako potwierdzające

Klucze mogą być publikowane, podpisy mogą istnieć, a łańcuch nadal może zostać gdzieś przerwany. Liczy się to, czy sprawdzający mechanizm rozpoznawania nazw akceptuje wynik i o to właśnie pyta ta strona.

04

Spacer po strefie, czyli jak NSEC wyświetla wasze nazwiska

Aby udowodnić, że nazwa nie istnieje, DNSSEC musi podpisać luki między nazwami, które istnieją. Dzięki zwykłemu NSEC dowód ten wymienia następny rekord w strefie, więc każdy może zadać kilka pytańpytania i przeczytaj całą listę nazwisk. NSEC3 miesza je, aby było to trudniejsze. Strefa, która podaje swoją nazwę każdemu, kto o to poprosi, za darmo oddaje swoją wewnętrzną strukturę.

05

Dowód, że domena jest chroniona

Ubezpieczyciele i klienci korporacyjni pytają o DNSSEC po nazwie. Przestarzały raport pokazujący, że łańcuch został zweryfikowany i kiedy uległ zmianie, jest lepszą odpowiedzią niż zrzut ekranu panelu DNS i jest dowodem, który możeszzachowaj.

Poznaj dzień zmiany DNSSEC

DNSSEC to jedyny zestaw rekordów, w przypadku którego rutynowa zmiana może wszystko zepsuć: migrację dostawcy, przeniesienie rejestratora, przeniesienie klucza, którego nikt nie zaplanował.

Zaplanowane skany zmieniają to w różnicę, o której się mówi: ta strefa została podpisana w zeszłym tygodniu, a teraz nie jest, ten łańcuch przestał być sprawdzany, ta ocena spadła. Alerty docierają do aplikacji, pocztą elektroniczną lub za pośrednictwem aplikacji Slack, Teams, Jira lub awebhook.

Krok 01 · Nazwij domenę

Domena, którą kontrolujesz, dodana do Twojego konta AYAsec. Własność jest sprawdzana przed wysłaniem czegokolwiek - AYAsec nie zaplanuje skanowania infrastruktury, nad którą nie wykazałeś kontroli, ani udowadniania, że ​​wymaga to jednego rekordu DNS. Powyższe szybkie sprawdzenie pomija to: brak konta, brak weryfikacji, tylko ograniczenie szybkości IP i zasada, że ​​celem musi byćadres publiczny.

Krok 02 · Pozwól, aby kontrola została uruchomiona

Dane DNSSEC są publiczne, więc są one odczytywane, a nie sondowane. Prosi osobę sprawdzającą o klucze i odpowiedź, po czym sprawdza, co mówi.

Krok 03 · Przeczytaj wynik

Wyniki są uporządkowane według ważności i punktowane od A+ do F. Strefa, która nie podlega walidacji, i strefa, która jest po prostu niepodpisana, nie znajdują się na tej samej niezróżnicowanej liście.

Czego to jest częścią

DNSSEC jest jednym z kilkurzeczy, które AYAsec sprawdza w ramach skanowania DNS, oprócz SPF, DKIM, DMARC, MTA-STS i TLS-RPT, a także konfigurację serwera nazw i stan rekordów. To jeden skan, a ta strona dotyczy tylko jednej części tego, co przegląda.

DNS przenosi 20% oceny złożonej. Pozostałe to HTTP na poziomie 30%, TLS iporty po 20% każdy, a wiarygodność domeny po 10%. To wszystko razem oznacza w praktyce zarządzanie powierzchnią ataku.

Pytania przed sprawdzeniem

Co mogę sprawdzić?

Infrastruktura, którą posiadasz lub którą masz zleconą do testowania. Powyższa szybka kontrola nie weryfikuje tego za Ciebie - ogranicza jedynie limity szybkości według adresu IP i nie kieruje reklam na nic innego niż adres publiczny. Zamiast tego dodaj domenę do konta AYAsec, a kontrola zostanie zweryfikowana przed uruchomieniem czegokolwiek zaplanowanego: granica prawna, a nie praktyczna, ponieważ niezweryfikowany skan również nie będzie dla Ciebie przydatny jako dowód.

Dane DNSSEC są publiczne. Dlaczego to jest potrzebneweryfikacja?

Dane są publiczne, a czek jest tylko do odczytu, więc sam czek jest nieszkodliwy. Weryfikacja dotyczy tego, co dzieje się dalej: domena na Twoim koncie AYAsec jest monitorowana, oceniana i zapisywana w Twojej historii, a nic takiego nie powinno być możliwe w przypadku domeny, która nie jest Twoja.

Czy DNSSEC cokolwiek szyfruje?

Nie. To dowodzi, że odpowiedź jest autentyczna; tego nie kryje. Szyfrowanie ruchu pomiędzy klientem a programem rozpoznawania nazw to:inna rzecz.

Czy DNSSEC jest warte ryzyka złamania domeny?

W przypadku większości domen tak, pod warunkiem, że są one włączone i następnie oglądane. Ryzyko jest realne, ale wąskie: występuje w momentach zmiany kluczy lub dostawców. Zaplanowana kontrola sprawia, że ​​stwierdzenie „mamy nadzieję, że łańcuch jest w porządku” staje się powiadomieniem w dniu, w którym tak się nie dzieje.

Mój dostawca podpisuje za mnie strefę. Skończyłem?

Nie, dopóki rejestrator nie opublikuje pasującego rekordu DS. Strefa podpisana bez aDS u rodzica nie jest przez nikogo weryfikowany.

Czy przechowujesz wyniki?

To nie jest szybkie sprawdzenie powyżej – plik żyje w pamięci przez około piętnaście minut, więc możesz go przeczytać raz, a potem już go nie ma. Jest to celowy wybór dotyczący prywatności, a nie ograniczenie: nikt oprócz Ciebie nigdy nie widzi tego skanu i możesz pobrać pełny wynik przed jego wygaśnięciem. Zamiast tego dodaj domenę do konta AYAsec, a każdy skan zostanie zachowany – seria informująca, która edycja go uszkodziła. Przechowywanie zależy od Twojego planu.

Zachowaj historię, nie tylkowynik

Przeprowadź pełną kontrolę DNS we własnych domenach zgodnie z harmonogramem, a każda zmiana zostanie oznaczona każdemu, kto potrzebuje ją zobaczyć.

– Weryfikator DMARC – co dzieje się z pocztą, która nie przeszła kontroli?

  • MTA-STSchecker - czy połączenie przesyłające Twoją pocztę jest chronione?

Uporządkowane dane do osadzenia

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNSSEC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dnssec-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Nie dodawaj znaczników FAQPage ani HowTo – Google wycofał oba typy wyników.