الدرس 2 من 3
شرح تقنية DNSSEC
دقيقة واحدة
لا يملك نظام DNS العادي وسيلة لإثبات أن الإجابة حقيقية، فالمهاجم الذي يستطيع حقن رد مزيف يمكنه توجيه زوارك إلى أي مكان. وتضيف تقنية DNSSEC توقيعات لحل هذه المشكلة.
كيف تعمل
- تُوقَّع منطقتك: يحصل كل مجموعة سجلات على توقيع
RRSIG. - تنشر المنطقة مفاتيحها العامة في سجلات
DNSKEY. - يربط سجل DS لدى المسجّل مفاتيحك بالمنطقة الأم (
.com)، فتتكون سلسلة ثقة من الجذر نزولًا. - تتحقق المحلّلات الداعمة للتحقق من التوقيعات، وإذا لم تتطابق تُرفض الإجابة بدلًا من الوثوق بها.
تفعيلها
- فعّل التوقيع بتقنية DNSSEC لدى مزود DNS.
- انسخ سجل DS الذي يعطيك إياه إلى إعدادات DNSSEC لدى المسجّل.
- تحقق باستخدام
dig +dnssec yourcompany.comأو أداة تحليل DNSSEC عبر الإنترنت.
اللحظة الخطرة هي تغيير مزود DNS. فإذا بقي سجل DS القديم لدى المسجّل بينما يوقّع المزود الجديد بمفاتيح مختلفة، تعتبر المحلّلات نطاقك معطّلًا. أوقف DNSSEC قبل النقل، ثم فعّله بعده.
هل تستحق؟
لمعظم مواقع الشركات نعم، إذا كان مزودك يؤتمت تغيير المفاتيح. فهي تحمي من تسميم الذاكرة المؤقتة، وتعتمد عليها بعض معايير أمان البريد.