DNSSEC nedir?
DNSSEC (DNS Security Extensions), DNS cevaplarının dijital imzalarla doğrulanmasını sağlayan güvenlik uzantısıdır. Çözümleyici, aldığı cevabın gerçekten alan adının sahibinden geldiğini ve yolda değiştirilmediğini kontrol edebilir. Böylece sahte DNS cevabıyla yapılan yönlendirme saldırılarına karşı koruma sağlar.
DNSSEC trafiği şifrelemez; amacı gizlilik değil, bütünlük ve kaynak doğrulamasıdır. Alan adı sahibi bölgesini imzalar, çözümleyici imzayı doğrular.
Nasıl çalışır?
Bölgedeki kayıt kümeleri özel anahtarla imzalanır ve imzalar RRSIG kayıtlarında yayınlanır. Doğrulama için gereken genel anahtarlar DNSKEY kayıtlarında bulunur. Güven zinciri kökten başlar: üst seviye alan DS kaydıyla alt alanın anahtarını onaylar. Çözümleyici bu zinciri kök alandan kontrol ederek cevabın doğru olduğuna karar verir.
İmza geçersizse doğrulama yapan çözümleyici cevabı kabul etmez. Bu da sahte cevap enjeksiyonunu (DNS önbellek zehirlemesi gibi) engeller.
Sunucu ve hosting ortamında
DNSSEC’i etkinleştirmek için DNS barındırıcınızın bölgeyi imzalaması ve alan adı kayıt şirketinde DS kaydının eklenmesi gerekir. Birçok DNS sağlayıcı ve bazı kontrol panelleri bunu tek tıkla sunar. DNS’i kendiniz yönetiyorsanız anahtar üretimi ve imza yenileme sürecini yönetmeniz gerekir.
Yanlış yapılandırma ciddi sonuç doğurur: DS kaydı ile bölgedeki anahtar eşleşmezse doğrulama yapan çözümleyiciler alan adınızı hiç çözemeyebilir. Bu yüzden ad sunucusu sağlayıcısı değiştirirken DNSSEC adımları dikkatle planlanmalıdır.
Nasıl uygulanır?
- DNS sağlayıcınızın DNSSEC desteğini ve otomatik anahtar yönetimini kontrol edin.
- Bölgeyi imzaladıktan sonra DS kaydını alan adı kayıt şirketine ekleyin.