DNSSEC nedir, nasıl çalışır

Sorun

Bir çözümleyici bir adın adresini sorduğunda, gelen ilk makul yanıtı kabul eder. Klasik DNS'te imza da şifreleme de yoktur. Bu yüzden sahte bir yanıt sokabilen ya da sorgunun geçtiği bir ağı denetleyen saldırgan, o çözümleyicinin kullanıcılarını kendi seçtiği bir sunucuya yönlendirebilir. Buna önbellek zehirlenmesi denir, çünkü sahte yanıt saklanır ve süresi dolana kadar soran herkese sunulur.

DNSSEC, yani DNS Güvenlik Uzantıları, bu sorunu bölge sahibinin kayıtları imzalamasıyla çözer. Doğrulama yapan bir çözümleyici, imzayı yayınlanmış bir anahtarla denetleyebilir ve doğrulanmayan her şeyi reddedebilir. Verinin kendisi değişmez ve hâlâ herkese açıktır. Eklenen şey, verinin nereden geldiğinin ve değiştirilmediğinin kanıtıdır.

Kullanılan kayıtlar

DNSSEC dört kayıt türü ekler. DNSKEY kaydı bölgenin bir açık anahtarını tutar. RRSIG kaydı, tek bir addaki tek bir türe ait kayıt kümesinin imzasıdır. Üst bölgede yayınlanan DS kaydı, alt bölgenin anahtarının özetini içerir ve ikisini birbirine bağlayan şey odur. NSEC ya da NSEC3 kayıtları, bir adın ya da kayıt türünün var olmadığını kanıtlamayı mümkün kılar. Böylece "hiçbir şey yok" diyen sahte bir yanıt da tespit edilebilir.

Çoğu bölge iki anahtar kullanır. Bölge imzalama anahtarı (zone signing key) olağan kayıtları imzalar. Anahtar imzalama anahtarı (key signing key) yalnızca DNSKEY kayıt kümesini imzalar ve üst bölgedeki DS kaydının işaret ettiği anahtar da budur. İkisini ayırmak, bölge imzalama anahtarının üst bölgeyi işe karıştırmadan sık sık değiştirilmesini sağlar.

dig example.com DNSKEY +short
257 3 13 mdsswUyr3DPW132mOi8V9xESWE8jTo0d...   ; key signing key
256 3 13 oJMRESz5E4gYzS/q6XDrvU1qMPYIjCWz...   ; zone signing key

dig example.com A +dnssec +short
203.0.113.10
A 13 2 300 20261124000000 20261110000000 34505 example.com. Kx9c...

Güven zinciri

Bir imza, ancak onu üreten anahtara güvenilebiliyorsa işe yarar. DNSSEC bunu DNS hiyerarşisini izleyen bir zincirle çözer. Kök bölgenin anahtarı, doğrulama yapan çözümleyicilere gömülüdür. Kök, her üst düzey domain için bir DS kaydı imzalar ve bu kayıt o domainin anahtarına kefil olur. Üst düzey domain de sizin domaininiz için bir DS kaydı imzalar. Bu kayıt sizin anahtarınıza kefil olur ve sizin anahtarınız kayıtlarınızı imzalar.

Doğrulama bu zinciri kökten aşağıya doğru izler. Her halka doğrulanırsa yanıt güvenli olarak işaretlenir. Bir bölgenin üst bölgesinde DS kaydı yoksa zincir orada meşru biçimde sona erer ve bölge imzasız sayılır: yanıtlar, tam DNSSEC'ten önce olduğu gibi doğrulama yapılmadan kabul edilir. Tehlikeli durum ikisinin arasıdır: DS kaydı vardır ama imzalar onunla eşleşmez. O zaman doğrulama yapan çözümleyici yanıtı reddetmek zorundadır.

dig example.com DS +short
34505 13 2 5C6E0A1E9B7D4F...   ; key tag, algorithm, digest type, digest

Size ne kazandırır

Doğrudan faydası şudur: doğrulama yapan çözümleyicilerin kullanıcıları, DNS'e iletim sırasında müdahale edilerek domaininiz için sahte bir adrese gönderilemez. Birkaç büyük genel çözümleyici ve pek çok internet sağlayıcısı doğrulama yapar.

DNSSEC, DNS'te duran diğer kayıtları da güçlendirir. Sertifika otoritelerine sizin için kimin sertifika düzenleyebileceğini söyleyen CAA kaydını korur ve DNSSEC doğrulaması yapan otoriteler, doğrulama başarısız olursa sertifika düzenlemeyi reddeder. MX, SPF ve DMARC kayıtlarını iletim sırasında sahtelerinin üretilmesine karşı korur. Ayrıca, bir domainin posta sunucularının hangi sertifikayı kullandığını DNS'te yayınlamasını sağlayan DANE'nin temelidir.

Neyi yapmaz

DNSSEC kimlik doğrular, şifrelemez. Sorgular ve yanıtlar, yol üzerindeki herkese görünür kalır. DNS sorgularında gizliliği, cihaz ile çözümleyicisi arasındaki bağlantıyı şifreleyen ayrı teknolojiler sağlar.

DNS sağlayıcınızdaki ya da kayıt firmanızdaki hesaba erişimi olan birinin yaptığı değişikliklere karşı korumaz: orada düzenlenen kayıtlar da diğerleri gibi imzalanır. Çözümleyicisi doğrulama yapmayan kullanıcıları korumaz. Kullanıcı adrese ulaştıktan sonra orada sunulan içerikle ilgili de hiçbir şey yapmaz. Bunun için TLS sertifikaları vardır.

DNSSEC'i etkinleştirmek

Etkinleştirme işinde iki taraf vardır: bölgeyi imzalayan DNS sağlayıcısı ve DS kaydını kayıt operatörüne (registry) ileten kayıt firması. İkisi de aynı şirketse iş çoğu zaman tek bir düğmedir. Farklı şirketlerse DS kaydı birinden diğerine elle kopyalanmalıdır.

1. Hem DNS sağlayıcınızın hem de kayıt firmanızın, üst düzey domaininiz için DNSSEC'i desteklediğini doğrulayın.
2. DNS sağlayıcısında imzalamayı açın. Bölge artık DNSKEY ve RRSIG kayıtlarını sunar, başka hiçbir şey henüz değişmez.
3. DNSKEY kayıtlarını ve imzalı bir yanıtı sorgulayarak bölgenin doğru imzalandığını kontrol edin.
4. Sağlayıcının gösterdiği DS kaydı bilgilerini kopyalayın: anahtar etiketi (key tag), algoritma, özet türü ve özet.
5. Bu bilgileri kayıt firmasında girin. Bazı kayıt firmaları bunun yerine DNSKEY'i ister ve DS kaydını kendisi hesaplar.
6. DS kaydının üst bölgede görünmesini bekleyin. Ardından doğrulama yapan bir çözümleyiciyle ve bir DNSSEC analiz aracıyla test edin.

dig example.com A @1.1.1.1 +dnssec
;; flags: qr rd ra ad;        <- the ad flag means the answer was validated

Algoritmalar

DNSKEY ve DS kayıtlarındaki algoritma numarası imzaların nasıl üretildiğini söyler. Algoritma 13, yani P-256 eğrisiyle ECDSA, yaygın modern tercihtir: anahtarları ve imzaları küçüktür, bu da yanıtları kısa tutar. Algoritma 8, yani SHA-256 ile RSA, daha eskidir ve hâlâ yaygın biçimde kullanılır. SHA-1 tabanlı algoritmalar kullanımdan kaldırılmıştır ve yeni bir kurulum için seçilmemelidir. DS kaydı için standart tercih, SHA-256 olan özet türü 2'dir. Uygulamada bunları DNS sağlayıcısı seçer ve verilecek tek karar, varsayılanlarını kabul edip etmemektir.

DNSSEC bir domaini nasıl çevrimdışı bırakır

Neredeyse her DNSSEC kesintisi aynı biçimdedir: üst bölgedeki DS kaydı, bölgenin artık kullanmadığı bir anahtara işaret eder. Doğrulama yapan çözümleyiciler bu durumda zincire bağlayamadıkları imzalar görür ve domaindeki her ad için SERVFAIL döndürür. Web sitesi, e-posta ve bütün alt domainler birlikte çalışmaz olur, ama yalnızca doğrulama yapan çözümleyicilerin arkasındaki kullanıcılar için. Olayı kafa karıştırıcı yapan da budur: bazı kişilerde çalışır, bazılarında çalışmaz.

1. Eski DS kaydı hâlâ kayıt firmasında dururken DNS sağlayıcısını değiştirmek. Yeni sağlayıcı farklı anahtarlarla imzalar ya da hiç imzalamaz.
2. Kayıt firmasında ad sunucularını, DNSSEC'in hiç etkinleştirilmediği bir sağlayıcıya çevirmek ve DS kaydını geride bırakmak.
3. Önce DS kaydını kaldırmadan DNS sağlayıcısında imzalamayı kapatmak.
4. DS kaydının yeni anahtar imzalama anahtarına göre güncellenmediği bir anahtar değişimi (key rollover).
5. İmzalama sistemi çalışmayı bıraktığı için süresi dolan imzalar.

DNS sağlayıcısını güvenli biçimde değiştirmek

En basit ve güvenilir yöntem, taşıma süresince imzasız kalmaktır. Bir iki günlüğüne doğrulamadan vazgeçersiniz ve uyuşmazlık ihtimalini ortadan kaldırırsınız.

1. Kayıt firmasında DS kaydını kaldırın. Henüz başka hiçbir şeye dokunmayın.
2. En az DS kaydının TTL süresi kadar, genellikle bir gün bekleyin. Böylece hiçbir çözümleyicide eski DS kaydı kalmaz.
3. Doğrulama yapan bir çözümleyiciden domainin hâlâ çözümlendiğini ve artık imzasız sayıldığını doğrulayın.
4. Ad sunucularını yeni sağlayıcıya çevirin.
5. Taşıma oturduktan sonra yeni sağlayıcıda imzalamayı etkinleştirin.
6. Yeni DS kaydını kayıt firmasında ekleyin.

dig example.com A @1.1.1.1         ; SERVFAIL
dig example.com A @1.1.1.1 +cd     ; answers, so validation is failing
dig example.com DS +short          ; the DS the parent publishes
dig example.com DNSKEY +short      ; the keys the zone actually has

Kesintiden kurtulmak

Domain doğrulamadan geçemiyorsa ve neden hemen giderilemiyorsa, kayıt firmasında DS kaydını kaldırın. Çözümleyicilerin önbelleğindeki kopyaların süresi dolduğunda domain imzasız sayılır ve yeniden çözümlenir. Hizmete dönmenin en hızlı yolu budur. Hızlandırılamaz, çünkü eski DS kaydı TTL süresi boyunca önbelleklerde kalır. Bu tür kesintilerin doğru düzeltme uygulandıktan sonra bile çoğunlukla saatlerce sürmesinin nedeni budur.

DNSSEC'i daha sonra, normal sırayı izleyerek planlı bir değişiklik olarak yeniden etkinleştirin.

Etkinleştirmeli misiniz

Çoğu domain için yanıt, bir koşulla birlikte evettir. DNS sağlayıcısı ile kayıt firması aynı şirketse ya da sağlayıcı DS kaydını otomatik yönetiyorsa, DNSSEC gözetim gerektirmeden çalışır ve risk küçüktür. DS kaydı iki şirket arasında elle yönetiliyorsa da sahip olmaya değer. Yeter ki bu bağımlılık, bir sonraki sağlayıcı değişikliğini yapacak kişinin göreceği bir yere yazılmış olsun. Belgelenmemiş bir DS kaydı, bir taşımanın kesintiye dönüşmesinin olağan nedenidir.

Hangisi geçerli olursa olsun, izleyin. CloudSpex DNSSEC Denetleyici, DS kaydını ve bölgenin anahtarlarını okur ve zincirin doğrulanıp doğrulanmadığını bildirir. Böylece bir uyuşmazlık, destek talepleriyle değil, değişiklikten önce ya da hemen sonra fark edilir.