Modul 8 · 8.1
DNSSEC i vanligt språk
Modul 8: Säkerhet och felsökning · Lästid: 11 minuter
Lärandemål: Efter den här lektionen kan du i vanligt språk förklara vad DNSSEC skyddar, hur förtroendekedjan fungerar och varför det kan gå fel vid en domänflytt.
Nyckelbegrepp: DNSSEC, signatur (RRSIG), nyckel (DNSKEY), DS-post, förtroendekedja, validerande resolver, SERVFAIL
Problemet: hur vet du att ett svar är äkta?
I modul 1 såg du att en resolver ställer en rad frågor: till roten, till TLD-servern och till den auktoritativa namnservern. Svaret som kommer tillbaka tros och läggs i cachen. Men vanlig DNS kontrollerar inte om det svaret verkligen kommer från rätt namnserver. En angripare som lyckas skicka ett falskt svar innan det äkta svaret kommer fram kan få en resolver att tro att example.com finns på 203.0.113.66 i stället för på 192.0.2.10. Det kallas cache poisoning: cachen blir "förgiftad" och alla som använder den resolvern hamnar på fel server.
DNSSEC (DNS Security Extensions) löser det genom att signera svar. Resolvern kan då kontrollera att ett svar är äkta och att det inte har ändrats på vägen.
Vad DNSSEC gör och inte gör
Det här är det viktigaste att komma ihåg:
| DNSSEC gör | DNSSEC gör inte |
|---|---|
| Bevisar att ett svar kommer från den verkliga ansvariga för zonen | Krypterar din DNS-trafik (alla kan fortfarande se vad du frågar efter) |
| Bevisar att svaret inte har ändrats på vägen | Skyddar din webbplats eller e-post (det sköts av https och SPF/DKIM/DMARC) |
| Bevisar att ett namn verkligen inte finns | Förhindrar fel i dina egna poster: en felaktigt signerad post är fortfarande felaktig |
En signatur fungerar som ett sigill på ett kuvert: alla kan läsa brevet, men du ser direkt om någon har öppnat det.
De tre delarna
DNSSEC lägger till några posttyper. Du behöver inte skapa dem själv (det gör din DNS-leverantör eller kontrollpanel), men du stöter på dem:
- DNSKEY: zonens publika nyckel. Med den kan vem som helst kontrollera signaturerna.
- RRSIG: signaturen för en grupp poster. Varje A-, MX- eller TXT-svar får en RRSIG. En signatur har ett start- och slutdatum: zonen måste alltså signeras om regelbundet.
- DS (Delegation Signer): ett kort "fingeravtryck" av nyckeln för din zon. Det ligger inte i din egen zon, utan hos föräldern: för
example.comalltså hos registeransvarig för .com (Verisign), för en.nl-domän hos SIDN (det nederländska registret för .nl).
Så här ser ett signerat svar ut (förkortat):
$ dig example.com A +dnssec +noall +answer
example.com. 3600 IN A 192.0.2.10
example.com. 3600 IN RRSIG A 13 2 3600 20261119000000 20261029000000 30794 example.com. s7yJ5o...I RRSIG:n ser du bland annat algoritmen (13 = ECDSA P-256 med SHA-256), slutdatumet (19 november 2026), startdatumet och nyckelns nummer (30794).
Förtroendekedjan
Varför ligger DS:en hos föräldern? Därför att en nyckel i din egen zon inte bevisar något: en angripare skulle också kunna skicka med en egen nyckel. Därför går kontrollen uppifrån och ner:
- Resolvern litar på nyckeln för roten. Den är inbyggd i varje validerande resolver (trust anchor).
- Roten har en DS för .com, signerad med rotnyckeln. Därmed vet resolvern vilken nyckel .com borde ha.
- Zonen .com har en DS för example.com, signerad med .com-nyckeln.
- Zonen example.com har en DNSKEY som matchar den DS:en, och med den kan alla RRSIG:ar kontrolleras.
Varje länk bevisar nästa. Går en länk sönder blir hela kedjan opålitlig.
En validerande resolver (de flesta stora publika resolvrar och allt fler leverantörer) går igenom den kedjan. Stämmer den, får du svaret. Stämmer den inte, ger resolvern inget svar, utan felstatusen SERVFAIL. För besökaren ser det ut som om webbplatsen helt enkelt "inte finns", även om dina poster kanske är helt korrekta.
Du kan se det själv med en domän som avsiktligt har gjorts trasig:
$ dig dnssec-failed.org A @1.1.1.1
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL
; EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for dnssec-failed.org.)Med +cd ("checking disabled") ber du resolvern hoppa över kontrollen. Får du då ett svar vet du säkert att det beror på DNSSEC:
$ dig +cd dnssec-failed.org A @1.1.1.1 +short
96.99.227.255En domän utan DNSSEC (ingen DS hos föräldern) ger inget SERVFAIL: den är då bara inte signerad och släpps igenom som "osäker".
Där det går fel: domänflytt och nyckelbyten
DNSSEC i sig går nästan aldrig sönder. Det går fel när DS:en hos registeransvarig inte längre matchar nyckeln i zonen. Det händer framför allt:
- Vid en flytt av namnservrar eller DNS-leverantör. Den nya leverantören signerar med en egen nyckel, men hos registeransvarig finns fortfarande DS:en från den gamla leverantören. Resultat: SERVFAIL för alla med en validerande resolver. Det här är det klassiska felet efter en domänflytt.
- Vid ett nyckelbyte där den nya DS:en inte skickats till registeransvarig (i tid).
- När signaturerna löper ut, eftersom zonen inte längre signeras om.
Den säkra ordningen vid en domänflytt är därför:
- Ta bort DS:en hos registeransvarig (eller låt den nya leverantören lämna en DS som du lägger till).
- Vänta tills TTL:en för den gamla DS:en har passerat.
- Byt namnservrar.
- Aktivera DNSSEC hos den nya leverantören och lägg till den nya DS:en hos registeransvarig.
Många registrarer och kontrollpaneler sköter detta automatiskt numera, så länge domän och DNS ligger hos samma leverantör. Ligger de hos olika leverantörer måste du föra över DS:en själv.
Kontrollera själv: DNSViz, Zonemaster och internet.nl
Du behöver inte gå igenom kedjan med dig. Det finns gratis verktyg som gör det åt dig och visar resultatet.
DNSViz (https://dnsviz.net/) ritar hela kedjan som en bild. Så här använder du det:
- Skriv domännamnet i sökrutan på startsidan (bara namnet, utan
https://och utanwww) och klicka på Go. - DNSViz visar den senaste analysen. Är den gammal, eller har du nyss ändrat något, klicka då på Update now. Efter några sekunder ser du bilden.
- Läs bilden uppifrån och ner: överst roten (
.), därunder TLD:n (till exempelnl), underst din domän. Varje zon är en ram.
Det här ser du i bilden:
| I bilden | Betydelse |
|---|---|
| Oval med DNSKEY | En nyckel för zonen. En grå, fylld oval är nyckeln som signerar de andra nycklarna (KSK, med SEP-flaggan); en vit oval är oftast nyckeln för de vanliga posterna (ZSK) |
| Ruta med DS i zonen ovanför | Fingeravtrycket hos föräldern. Pilen från DS:en går till den DNSKEY den hör ihop med |
Avrundad rektangel, till exempel example.com/A | En vanlig postgrupp. Pilen dit kommer från nyckeln som satt signaturen (RRSIG) |
| Linje mellan två zoner | Delegationen från förälder till barn |
Kedjan följer du så här: DS (hos föräldern) pekar på DNSKEY (i din zon), och den DNSKEY:n sätter med en RRSIG sin signatur under posterna. Det är exakt samma kedja som i den här lektionen, fast ritad.
Färgerna berättar om det stämmer:
- Blått: säkert (secure). Kedjan löper obruten från roten till den här delen.
- Svart: inte signerat (insecure). Det finns ingen DS, så det finns inget att kontrollera. Det är inget fel, domänen använder helt enkelt inte DNSSEC.
- Rött: trasigt (bogus). En DS matchar inte en nyckel, eller en signatur stämmer inte. En validerande resolver ger då SERVFAIL.
- Lila (vid en signatur): signaturen har löpt ut eller är ännu inte giltig. Zonen signeras inte längre om.
- Gult: en varning, till exempel en namnserver som inte svarar korrekt, eller en algoritm som verktyget inte känner till.
- Grått och prickat: det hänvisas till en nyckel som inte finns. Ser du en prickad DNSKEY under en DS, så finns det hos föräldern fortfarande en DS från en gammal nyckel: det klassiska felet efter en domänflytt.
Vid en del kan en liten triangel (varning) eller ett runt feltecken stå. Håll muspekaren över det, eller titta i listan under bilden: där står det i ord vad som är fel.
Testa gärna med sidn.nl (allt blått) och med dnssec-failed.org (rött, med en prickad nyckel under DS:en).
Andra verktyg som undersöker samma sak från en annan vinkel:
- Zonemaster (
https://zonemaster.net/): kontrollerar hela din zon på samma sätt som en registeransvarig gör, även DNSSEC. Resultatet är en lista med grönt (bra), orange (varning) och rött (fel). - internet.nl (
https://internet.nl/): webbplats- och e-posttestet visar bland annat om DNSSEC för din domän och dina mailservrar är i ordning, med gröna bockar eller röda kryss. - Verisign DNSSEC Debugger (
https://dnssec-debugger.verisignlabs.com/): går igenom kedjan steg för steg och sätter en grön bock eller ett rött kryss vid varje steg. Praktiskt när du letar efter ett konkret fel.
Använd dem efter varje ändring av DNSSEC, och absolut före och efter en domänflytt. Låt verktyget analysera på nytt i lugn och ro: även dessa verktyg jobbar med cachar och TTL:er.
I praktiken: så här ser det ut i en kontrollpanel
I Mitt WebOké aktiverar du DNSSEC för en domän under DNSSEC/DANE; panelen skapar nycklarna och skickar DS:en till registeransvarig. I DirectAdmin och hos externa leverantörer som Cloudflare heter det oftast "Aktivera DNSSEC"; Cloudflare visar dig då en DS-post som du själv måste fylla i hos din registrar. Andra kontrollpaneler fungerar på liknande sätt: det finns alltid ett steg "skapa nycklar" (hos DNS-leverantören) och ett steg "DS hos registeransvarig" (hos registrarn).
Sammanfattning
- DNSSEC signerar DNS-svar så att en resolver kan kontrollera att de är äkta. Det krypterar ingenting.
- DNSKEY är nyckeln, RRSIG är signaturen, DS är fingeravtrycket hos föräldern.
- Kontrollen går som en kedja från roten till din domän. Går en länk sönder ger en validerande resolver SERVFAIL.
- Nästan alla problem uppstår för att DS:en hos registeransvarig inte längre matchar, ofta efter en domänflytt.
- Med
dig +cdser du om ett problem beror på DNSSEC. - DNSViz ritar kedjan: blått är säkert, svart är inte signerat, rött är trasigt. Zonemaster, internet.nl och Verisign DNSSEC Debugger är bra andrahandsbedömningar.
Quiz
Uppgift
Uppgift Z8.1: Se DNSSEC i praktiken. Ta reda på vilken av två domäner som har korrekt DNSSEC och vilken som avsiktligt gjorts trasig: sidn.nl och dnssec-failed.org. Fråga efter DS-posten och A-posten för båda via en validerande resolver (till exempel 1.1.1.1 eller 9.9.9.9), med dig eller ett onlineverktyg. Fyll i: nyckelnumret (key tag, det första talet) för DS:en för sidn.nl, och statusen du får för dnssec-failed.org.
Uppgift Z8.1b: Läsa DNSViz. Analysera nlnetlabs.nl i DNSViz (https://dnsviz.net/, skriv in namnet och klicka på Go; klicka på Update now om analysen är gammal). Läs bilden och fyll i: (1) statusen för nlnetlabs.nl (säker, inte signerad eller trasig), (2) algoritmnumret för DNSKEY-posterna (står i varje oval som alg=), (3) hur många DNSKEY-ovaler som finns i zonen för nlnetlabs.nl, (4) nyckelnumret (id=) för den grå, fyllda DNSKEY som DS:en pekar på, och (5) statusen som DNSViz ger för dnssec-failed.org. Kontrollen hämtar samma uppgifter live.
Uppgift O8.1: Bedöma tre DNSSEC-demozoner. Vi har ställt i ordning tre demozoner: signed-demo.dnspractice.com (korrekt kedja), broken-demo.dnspractice.com (avsiktligt trasig) och unsigned-demo.dnspractice.com (inte signerad). Ta reda på för varje zon om den är säker, trasig eller inte signerad, till exempel med DNSViz eller med dig +dnssec (titta efter AD-flaggan, och prova vid en SERVFAIL även +cd). Välj ditt svar för varje zon nedan.
Läs mer
De här artiklarna beskriver stegen i WebOkés kontrollpaneler; hos andra leverantörer kan knapparna heta något annat.