DNSSEC (Domain Name System Security Extensions — с англ. «расширения безопасности системы доменных имён») — это набор расширений DNS, который защищает данные доменной зоны с помощью цифровых подписей. DNSSEC позволяет убедиться, что DNS-данные не были изменены и действительно получены из доверенного источника.
Принцип работы DNSSEC
1. Цифровые подписи. DNSSEC использует криптографию для создания цифровых подписей для записей DNS. Подписи создаются с помощью закрытых ключей, а проверяются с помощью открытых.
2. Два типа ключей:
- ZSK (Zone Signing Key) — пара ключей, которая используется для подписи записей DNS-зоны;
- KSK (Key Signing Key) — пара ключей, которая используется для подписи ключей зоны. На основе открытого ключа KSK формируется DS-запись, которая передаётся регистратору.
3. Процесс проверки. Когда DNS-клиент получает ответ от сервера, он использует открытый ключ, чтобы проверить подпись. Если подпись действительна, данные считаются подлинными.
Зачем это нужно?
1. Защита от атак. DNSSEC позволяет защититься от атак, при которых злоумышленник пытается подменить DNS-ответы и направить пользователя на поддельный сайт, например для кражи паролей.
2. Целостность данных. Позволяет проверить, что информация о доменном имени, например IP-адрес, не была изменена или подделана.
3. Надёжность. Повышает безопасность интернет-инфраструктуры, делая её менее уязвимой для определённых видов атак.
Подписание доменной зоны
Чтобы подписать доменную зону, в основном меню выберите «Управление DNS».
В открывшейся форме выделите нужное доменное имя и нажмите «Изменить» (
).
Активируйте чекбокс «Подписать домен» и нажмите «Сохранить».
Напротив доменного имени появится иконка 
. Она означает, что домен подписывается DNSSEC.
При успешном подписании доменной зоны иконка изменится на 
, а для домена станет доступна команда «DNSSEC».
Если ваш домен зарегистрирован в HB.BY, передайте DS-записи в службу технической поддержки. Чтобы их посмотреть, нажмите на три точки справа от домена и в выпадающем меню выберите «DNSSEC».
В списке DS-записей отображаются следующие данные:
- начало записи: содержит имя домена, класс записи и её тип;
- тег: идентификатор ключа;
- алгоритм: алгоритм, используемый для создания и проверки цифровой подписи;
- тип дайджеста: алгоритм, с помощью которого сформирован отпечаток ключа;
- дайджест: значение отпечатка ключа.
Для регистратора HB.BY потребуются только DS-записи с типом дайджеста 2. Скопируйте их и передайте техподдержке.
После публикации DS-записей и успешной проверки DNSSEC напротив домена появится значок 
с надписью при наведении «Под защитой DNSSEC».
Выключение DNSSEC
Чтобы отключить защиту домена:
- в главном меню выберите «Управление DNS»;
- выделите нужный домен и нажмите «Изменить» ();
- активируйте чекбокс «Удалить подпись»;
- нажмите «Сохранить».
Читайте также: