شرح DNSSEC: كيف تمنع المهاجمين من تزوير إجابات DNS لنطاقك

حين صُمم DNS لم يتوقع أحد أن يزور المهاجمون إجاباته. وفي هجوم تسميم الذاكرة المؤقتة، تُخدع خوادم الاستعلام لتخزين إجابة مزيفة، فتوجه المستخدمين إلى خادم المهاجم رغم أنهم كتبوا العنوان الصحيح. ويضيف DNSSEC توقيعات تشفيرية إلى DNS بحيث يمكن اكتشاف الإجابات المزورة ورفضها.

كيف يعمل باختصار

• تُوقَّع منطقة DNS الخاصة بك بمفتاح خاص، ويحصل كل مجموع سجلات على توقيع.
• سجل اسمه DS، يُنشر لدى سجل النطاق عبر مسجلك، يربط منطقتك بسلسلة الثقة التي تعلوها.
• تتحقق خوادم الاستعلام الداعمة من التوقيعات من جذر DNS نزولًا إلى سجلاتك، وإذا لم يتطابق شيء تُرفض الإجابة.

ما الذي يحميه وما الذي لا يحميه

يثبت DNSSEC أن إجابات DNS أصلية وغير معدلة. لكنه لا يشفر استعلامات DNS، ولا يحمي نطاقًا استُولي على حساب مسجله، لأن المهاجم يستطيع حينها تغيير السجلات والتوقيعات بشكل مشروع. لذا يظل أمان حساب المسجل مهمًا.

هل تفعّله؟

للنطاقات المهمة لأعمالك، وخاصة البنوك وخدمات الدفع والجهات الحكومية وأي خدمة يكون تحويل مستخدميها مضرًا، يُعد DNSSEC طبقة إضافية منطقية. وكثير من سجلات النطاقات ومزودي DNS يجعلون تفعيله سهلًا.

كيف تفعّله بأمان

• تأكد من أن مضيف DNS ومسجل النطاق يدعمان DNSSEC.
• فعّل التوقيع لدى مضيف DNS أولًا، ثم انشر سجل DS لدى المسجل.
• خطط لتدوير المفاتيح، أو استخدم مزودًا يؤتمته.
• انتبه عند تغيير مزود DNS: أزل سجل DS أو حدّثه بالترتيب الصحيح، وإلا قد يصبح النطاق غير قابل للوصول عبر خوادم الاستعلام الداعمة.
• راقب التحقق من DNSSEC، لتعرف بالتوقيع المعطل قبل أن يعرف عملاؤك.

كيف تساعدك IDX

تشمل استضافة IDX إدارة منطقة DNS، ويستطيع فريقنا تقديم المشورة حول ملاءمة DNSSEC لنطاقك، والمساعدة في إعداده وتغيير المزودين بأمان.