DNSSEC: co to je a proč zabezpečit doménu

Když zadáte adresu webu, počítač se nejdřív zeptá systému DNS, kam má jít. Útočník se může pokusit podstrčit falešnou odpověď a odvést vás na podvodnou stránku, která vypadá stejně. DNSSEC přidává k odpovědím digitální podpis, díky němuž lze ověřit, že přišly od oprávněného zdroje.

Co DNSSEC řeší a co ne

Zajišťuje pravost a neporušenost záznamů v DNS. Pokud někdo odpověď změní, ověřující překladač podpis nepřijme. Nešifruje však komunikaci ani neověřuje obsah webu. K tomu slouží certifikát HTTPS.

Tyto dvě vrstvy se doplňují. DNSSEC dohlíží, že se dostanete na správný server, HTTPS chrání spojení s ním.

Kdy zapnout

Vyplatí se organizacím, kde by podvržená odpověď způsobila škodu: e-shopům, bankovním a platebním službám, institucím, firmám s citlivými daty a webům s velkým provozem. Zvyšuje důvěryhodnost domény a ztěžuje některé typy útoků.

Smysl má i u domény, přes kterou chodí důležitá e-mailová korespondence. Podvržené záznamy mohou přesměrovat poštu.

Kdy to nespěchá, nebo ne

Malý osobní web bez citlivých údajů z DNSSEC získá méně. Pokud váš registrátor nebo poskytovatel DNS podporu nenabízí, nutíte-li si ji, riskujete chybnou konfiguraci.

Zapínejte ho, jen pokud víte, kdo se o něj bude starat. Špatně nastavený DNSSEC je horší než žádný, protože může doménu znepřístupnit.

Jak se zapíná v praxi

1. Ověřte, že registrátor i poskytovatel DNS podporují DNSSEC.
2. Zapněte podepisování zóny u poskytovatele DNS, který vygeneruje klíče.
3. Předejte údaje o klíči registrátorovi, aby je zveřejnil v nadřazené zóně.
4. Zkontrolujte funkčnost ověřovacím nástrojem a sledujte, zda se doména překládá správně.

Při přenosu domény k jinému poskytovateli nejdřív zabezpečení vypněte a zapněte až po přenosu, jinak hrozí výpadek.

Rizika a údržba

Klíče mají omezenou platnost a je třeba je včas vyměnit. Mnoho poskytovatelů to dělá automaticky, ale u ručního režimu je nutné hlídat termíny.

Nejčastější problém vzniká po změně DNS poskytovatele, kdy v nadřazené zóně zůstane starý záznam. Doména se pak může jevit jako nedostupná všem, kdo záznamy ověřují.

Časté otázky

Zpomalí DNSSEC web?

Prakticky ne. Odpovědi jsou o něco větší a ověření vyžaduje malou režii, ale běžný uživatel rozdíl nepozná.

Chrání DNSSEC před phishingem?

Jen částečně. Brání podvržení odpovědí DNS, ale neochrání před podvodným webem na podobné doméně nebo odkazem v e-mailu. K tomu je potřeba opatrnost uživatelů.

Musím ho mít?

Ne, není povinný pro všechny. Doporučuje se tam, kde by podvržení škodilo. Pro regulované oblasti mohou platit zvláštní požadavky, které si ověřte.

Můj tip: Doporučila bych před zapnutím DNSSEC poznamenat, kdo má přístup k registrátorovi a kdo k poskytovateli DNS. Při změně některého z nich pak nezapomenete zabezpečení nejdřív vypnout.

Zdroje

• CZ.NIC, správce české národní domény
• Národní úřad pro kybernetickou a informační bezpečnost
• ICANN