Funkcjonowanie internetu ściśle zależy od systemu DNS (Domain Name System). Gdy w przeglądarce wpisujemy domenę, którą chcemy otworzyć, np. smarthost.pl, czy wysyłamy wiadomość email, zazwyczaj nie zastanawiamy się, co dokładnie dzieje się w tle. W rzeczywistości system DNS przy każdym użyciu domeny tłumaczy jej nazwę na adres IP, który jest zrozumiały dla komputerów i serwerów w sieci.

Standardowy system DNS nie jest jednak całkowicie zabezpieczony przed różnego rodzaju atakami. Dlatego wdrożyliśmy DNSSEC – zestaw rozszerzeń dla systemu DNS, który zwiększa bezpieczeństwo i integralność danych. Dzięki zastosowaniu zaawansowanych metod kryptograficznych, technologia ta gwarantuje, że odpowiedzi na zapytania DNS pozostają autentyczne i nie są modyfikowane przez osoby trzecie.

Dlaczego warto wdrożyć DNSSEC?

• Ochrona przed oszustwami i atakami:

DNSSEC chroni przed oszustwami, takimi jak podszywanie się pod autorytatywne serwery DNS, oraz pozwala uniknąć ataków, w których fałszywe dane są wprowadzane do pamięci podręcznej serwera DNS co może prowadzić do wyłudzenia danych lub oszustw poprzez przekierowanie na fałszywe strony (phishing).

• Weryfikacja autentyczności i integralności danych:

DNSSEC umożliwia sprawdzenie, czy dane DNS pochodzą z autoryzowanego źródła i czy nie zostały zmienione w trakcie przesyłania. Dzięki temu mamy pewność, że dane DNS są takie same, jak te, które zostały pierwotnie podpisane przez właściciela strefy, i nie zostały zmanipulowane.

• Zwiększenie zaufania użytkowników:

Wdrożenie DNSSEC może zwiększyć zaufanie użytkowników do stron internetowych i usług, zapewniając, że są one autentyczne i bezpieczne, szczególnie w przypadku organizacji, które przechowują lub przetwarzają wrażliwe dane, takie jak dane finansowe czy osobowe. Wdrożenie DNSSEC pokazuje zaangażowanie w przestrzeganie najlepszych praktyk bezpieczeństwa i zgodność z obowiązującymi standardami.

Jak działa DNSSEC? Techniczne aspekty i mechanizmy działania.

Aby lepiej zrozumieć działanie DNSSEC, przyjrzyjmy się jego składowym elementom i procesowi weryfikacji.

Składowe elementy DNSSEC:

Klucze:

• Klucz prywatny: Używany do tworzenia podpisów cyfrowych rekordów DNS.
• Klucz publiczny: Publikowany jako rekord DNSKEY, służy do weryfikacji podpisów przez resolver DNS (komponent systemu DNS, który tłumaczy nazwy domenowe na odpowiadające im adresy IP).

Rekordy DNSSEC:

• DNSKEY: Rekord zawierający klucz publiczny dla strefy DNS.
• RRSIG: Rekord podpisu cyfrowego, potwierdzający autentyczność i integralność danych DNS.
• DS (Delegation Signer): Rekord wskazujący na klucz DNSKEY dla subdomeny, używany do weryfikacji i tworzenia łańcucha zaufania.
• NSEC/NSEC3: Rekordy używane do wykazania, że pewne rekordy DNS nie istnieją, co zapobiega atakom typu DNS spoofing.

Łańcuch zaufania:

Mechanizm łączący klucze i podpisy od strefy najwyższego poziomu aż do konkretnej domeny. Zaczyna się od zaufanego klucza root, który jest znany i uznawany przez resolver DNS.

Rodzaje kluczy:

1. ZSK (Zone Signing Key)

• Jest używany do tworzenia podpisów cyfrowych dla rekordów DNS w danej strefie. Dzięki temu można zweryfikować autentyczność i integralność tych rekordów.
• Zwykle jest zmieniany (rotowany) częściej niż KSK, np. co kilka miesięcy, aby zmniejszyć ryzyko kompromitacji klucza.
• Klucz ZSK jest przechowywany i używany lokalnie przez operatora strefy DNS.

2. KSK (Key Signing Key)

• Jest używany do podpisywania klucza ZSK, co tworzy zaufaną ścieżkę do kluczy podpisujących rekordy strefy DNS. Rekord DS (Delegation Signer) w nadzorującej strefie DNS zawiera odcisk cyfrowy(fingerprint) KSK, co umożliwia weryfikację.
• Zazwyczaj jest zmieniany rzadziej niż ZSK, np. co kilka lat.
• KSK jest kluczowym elementem systemu DNSSEC i jego bezpieczeństwo jest szczególnie istotne.

3. CSK (Combined Signing Key)

• Łączy funkcje ZSK i KSK w jednym kluczu. Jest używany do podpisywania zarówno rekordów strefy, jak i samego siebie. Pozwala to na uproszczenie zarządzania kluczami, zmniejszając liczbę kluczy potrzebnych do zabezpieczenia strefy DNS.
• Częstotliwość zmiany zależy od polityki bezpieczeństwa operatora strefy, ale zwykle jest kompromisem między częstotliwościami ZSK i KSK.
• CSK uproszcza zarządzanie kluczami, ale jego kompromitacja miałaby poważniejsze konsekwencje, ponieważ pełni podwójną rolę.

Proces weryfikacji za pomocą DNSSEC

1. Pobranie rekordu DNS: Klient (resolver) wysyła zapytanie do serwera DNS w celu uzyskania określonego rekordu (np. A, AAAA, MX).
2. Pobranie rekordu DS: Gdy zapytanie dotyczy domeny delegowanej do innego serwera DNS, resolver pobiera rekord DS z nadrzędnej strefy DNS. Rekord DS jest dowodem, że określona domena używa DNSSEC i zawiera hash klucza publicznego, używany do weryfikacji rekordów DNS w strefie.
3. Pobranie rekordu DNSKEY: Resolver pobiera rekord DNSKEY z serwera DNS odpowiedzialnego za daną strefę. Rekord DNSKEY zawiera klucz publiczny używany do weryfikacji podpisów cyfrowych rekordu DNS.
4. Pobranie rekordu RRSIG: Resolver pobiera rekord RRSIG, który jest podpisem cyfrowym danego rekordu DNS. RRSIG jest generowany przez serwer DNS przy użyciu klucza prywatnego odpowiadającego kluczowi publicznemu DNSKEY.
5. Weryfikacja rekordu DS: Resolver sprawdza zgodność hasha klucza publicznego w rekordzie DS z hashem klucza publicznego w rekordzie DNSKEY. Jeżeli hasze się zgadzają, oznacza to, że DNSKEY jest autentyczny i można go używać do dalszej weryfikacji.
6. Weryfikacja podpisu RRSIG: Resolver używa klucza publicznego z rekordu DNSKEY do odszyfrowania podpisu RRSIG i porównuje go z rekordem DNS. Jeżeli podpis jest poprawny, oznacza to, że rekord DNS nie został zmieniony i jest autentyczny.

Po pozytywnej weryfikacji podpisu resolver uznaje rekord DNS za bezpieczny i może zwrócić wynik zapytania użytkownikowi końcowemu.

Algorytmy stosowane do szyfrowania kluczy DNSSEC.

Istnieje wiele algorytmów stosowanych do generowania kluczy DNSSEC. Obecnie (według danych organizacji IANA) istnieje 16 algorytmów. Wybór odpowiedniego algorytmu zależy od kilku czynników, warto więc zwrócić uwagę na poniższe cechy algorytmów:

1. Poziom bezpieczeństwa
   • Odporność na ataki: Jak dobrze algorytm radzi sobie z różnymi typami ataków kryptograficznych.
   • Długość klucza: Dłuższe klucze zazwyczaj oferują wyższy poziom bezpieczeństwa, ale kosztem wydajności.
   
2. Wydajność
   • Czas generowania podpisu: Jak szybko algorytm może wygenerować podpis.
   • Czas weryfikacji podpisu: Jak szybko można zweryfikować podpis.
   • Zasoby systemowe: Ilość zasobów (CPU, pamięć) potrzebnych do operacji kryptograficznych.
   
3. Rozmiar podpisu
   • Wielkość danych: Jak duże są podpisy generowane przez algorytm. Mniejsze podpisy są korzystne w systemach z ograniczonymi zasobami.
   
4. Wsparcie i kompatybilność
   • Obsługa przez rejestratorów domen: Jak szeroko algorytm jest wspierany przez rejestratorów i dostawców usług DNS.
   • Kompatybilność z innymi systemami: Jak dobrze algorytm współpracuje z innymi systemami kryptograficznymi i protokołami.

W cPanel dostępne są cztery algorytmy:

RSA/SHA-256 (Algorytm 8)

1. Bezpieczeństwo: RSA/SHA-256 jest uważany za bezpieczny dzięki zastosowaniu funkcji skrótu SHA-256 i szyfrowania RSA. Oferuje dobre połączenie bezpieczeństwa i wydajności.
2. Wydajność: RSA/SHA-256 jest efektywny, ale może być wolniejszy w porównaniu z algorytmami opartymi na krzywych eliptycznych ze względu na większe rozmiary kluczy i wymagania obliczeniowe RSA.
3. Kompatybilność: Jest jednym z najczęściej wspieranych algorytmów przez rejestratorów domen i dostawców usług DNS.
4. Rozmiar podpisu: Generuje stosunkowo duże podpisy, co może wpływać na wydajność w systemach z ograniczonymi zasobami.

RSA/SHA-512 (Algorytm 10)

1. Bezpieczeństwo: RSA/SHA-512 oferuje wyższy poziom bezpieczeństwa niż RSA/SHA-256 dzięki użyciu silniejszej funkcji skrótu SHA-512.
2. Wydajność: Jest mniej wydajny niż RSA/SHA-256 z powodu większych zasobów potrzebnych do przetwarzania SHA-512.
3. Kompatybilność: Mniej powszechnie stosowany niż RSA/SHA-256, ale nadal wspierany przez wiele systemów.
4. Rozmiar podpisu: Generuje jeszcze większe podpisy niż RSA/SHA-256, co może wpływać na wydajność i zużycie zasobów.

ECDSA Curve P-256 z SHA-256 (Algorytm 13) – zalecany przez cPanel

1. Bezpieczeństwo: ECDSA P-256 z SHA-256 jest bardzo bezpieczny, korzysta z nowoczesnych krzywych eliptycznych i sprawdzonej funkcji skrótu SHA-256.
2. Wydajność: Bardzo wydajny, ponieważ używa mniejszych kluczy, co przekłada się na szybsze operacje kryptograficzne i mniejsze zapotrzebowanie na zasoby.
3. Kompatybilność: Coraz bardziej popularny i szeroko wspierany, szczególnie w nowych implementacjach.
4. Rozmiar podpisu: Generuje mniejsze podpisy, co jest korzystne w systemach z ograniczonymi zasobami.

ECDSA Curve P-384 z SHA-384 (Algorytm 14)

1. Bezpieczeństwo: zapewnia jeszcze wyższy poziom bezpieczeństwa niż ECDSA P-256 z SHA-256 dzięki bardziej złożonej krzywej i silniejszej funkcji skrótu.
2. Wydajność: Mniej wydajny niż ECDSA P-256, ale nadal bardziej efektywny niż algorytmy oparte na RSA.
3. Kompatybilność: Jest wspierany, choć nie tak szeroko jak ECDSA P-256, zyskuje jednak na popularności w środowiskach wymagających wysokiego poziomu bezpieczeństwa.
4. Rozmiar podpisu: Generuje większe podpisy niż ECDSA P-256, ale nadal mniejsze niż RSA/SHA-256 i RSA/SHA-512.

Aby dowiedzieć się jak utworzyć i skonfigurować zabezpieczenie DNSSEC zachęcamy do przeczytania naszego poradnika