Tanım
DNSSEC (Domain Name System Security Extensions), DNS yanıtlarını kriptografik imzalarla doğrulanabilir hâle getiren güvenlik uzantıları kümesidir. Çözümleyicinin, aldığı kaydın gerçekten alan adının yetkili sunucusundan geldiğini ve yolda değiştirilmediğini kontrol etmesini sağlar; böylece DNS önbellek zehirlemesi gibi sahte yanıt saldırılarını önler.
DNSSEC nasıl çalışır?
DNSSEC, kökten alan adınıza uzanan bir güven zinciri kurarak çalışır. Bölgedeki kayıtlar özel anahtarla imzalanır ve doğrulayan çözümleyici bu imzaları üst bölgede yayımlanan anahtar özetiyle karşılaştırır. Temel kayıt türleri şunlardır:
| Kayıt | Görevi |
|---|---|
| DNSKEY | Bölgenin açık anahtarlarını yayımlar |
| RRSIG | Her kayıt kümesinin imzasını taşır |
| DS | Üst bölgede (TLD) tutulan, alt bölgenin anahtarına ait özet |
| NSEC / NSEC3 | Bir kaydın var olmadığını doğrulanabilir biçimde kanıtlar |
DNSSEC verileri şifrelemez; yalnızca bütünlüğü ve kaynağı doğrular. Gizlilik için DNS over HTTPS ya da DNS over TLS gibi farklı protokoller kullanılır. DNSSEC’in koruma sağlaması için hem alan adının bölgesinin imzalanması hem de kullanıcının çözümleyicisinin doğrulama yapması gerekir; uzantının kayıt otoritesinin DS kaydını desteklemesi de ön koşuldur.
DNSSEC etkinken nameserver değiştirmek neden risklidir?
DNSSEC etkin bir alan adında nameserver değiştirirken üst bölgedeki DS kaydı eski anahtarları göstermeye devam ederse, doğrulayan çözümleyiciler yeni sunucunun yanıtlarını geçersiz sayar ve alan adı SERVFAIL hatasıyla erişilemez olur. Güvenli sıra şöyledir: önce kayıt firması panelinden DS kaydını kaldırın, DS kaydının TTL süresi kadar bekleyin, nameserver’ı değiştirin ve yeni sağlayıcıda DNSSEC’i etkinleştirdikten sonra yeni DS kaydını ekleyin. Bu adım nameserver değiştirme sırasında sık atlanan bir ayrıntıdır.