DNSSEC explicado: cómo se autentican las respuestas DNS

Las extensiones de seguridad del DNS, o DNSSEC, añaden autenticación criptográfica a los datos DNS. Ayudan a un resolvedor validador a comprobar que una respuesta corresponde a la zona prevista y que no se ha alterado durante el tránsito. DNSSEC no cifra las consultas DNS, no oculta el dominio solicitado ni hace que un sitio web sea seguro de usar. Proporciona una cadena de firmas y claves que permite al resolvedor validar los datos firmados hasta llegar a una raíz de confianza. Cuando la cadena está bien configurada, el resolvedor obtiene una prueba más sólida de que la respuesta es auténtica; cuando está rota, la validación puede hacer que consultas por lo demás normales fallen.

Los registros de una cadena DNSSEC

Una zona firmada publica registros DNSKEY con las claves públicas que sirven para validar las firmas. Los registros RRSIG llevan las firmas de los conjuntos de registros, y los registros DS de la zona padre conectan la clave de una zona hija con la cadena de confianza del padre. Los datos NSEC o NSEC3 permiten una denegación autenticada cuando un nombre o un registro no existe. Por lo general, los operadores confían en su proveedor de DNS o en su registrador para crear y mantener estos valores, pero las responsabilidades pueden estar repartidas: la zona hija la firma el servicio de DNS, mientras que el registro DS del padre se publica a través del registrador. Una discrepancia entre ambos es una causa frecuente de problemas de validación.

Un resolvedor validador sigue la cadena de confianza desde un ancla de confianza configurada, normalmente la raíz, a través de las zonas padre e hija. Comprueba que las firmas son válidas y que los registros coinciden con las claves y los datos de delegación. Los usuarios corrientes puede que nunca vean estos pasos, pero el efecto se nota en el resultado: una respuesta firmada válida se acepta, mientras que una cadena de firmas rota puede provocar SERVFAIL. Un resolvedor que no valida puede devolver un valor que un resolvedor validador rechaza, y por eso los fallos de DNSSEC pueden parecer específicos de una red. Comparar resolvedores y comprobar el estado de la validación es más informativo que dar por hecho que el nombre de host simplemente no tiene registros.

Cómo se producen los fallos de DNSSEC

Entre los casos de fallo habituales están dejar un registro DS obsoleto en el registrador tras cambiar de proveedor de DNS, publicar claves que no corresponden a la zona firmada, dejar que caduquen las firmas porque se dejó de firmar, o cambiar la delegación sin coordinar el padre y el hijo. Un despliegue de DNSSEC o una rotación de claves debe seguir el procedimiento documentado del proveedor y verificarse desde un resolvedor validador independiente. Si se desactiva DNSSEC, los datos DS obsoletos pueden ser más dañinos que no tener ningún registro DS, porque los validadores pueden seguir esperando una cadena que la zona hija ya no ofrece. Trata al registrador y al servicio de DNS como partes enlazadas de un mismo proceso.

• Pregunta si el proveedor de DNS firma la zona y gestiona la rotación de claves.
• Confirma que el valor DS del registrador coincide con las instrucciones actuales del proveedor.
• Prueba a través de un resolvedor validador después de activar, desactivar o migrar DNSSEC.
• Programa los cambios de claves con cuidado y conserva una vía de reversión.
• No confundas la autenticación de DNSSEC con el transporte DNS cifrado.

Diagnosticar un fallo de validación

Si un dominio devuelve SERVFAIL desde resolvedores validadores, revisa la cadena DNSSEC antes de cambiar registros A o MX que no tienen relación. Confirma los DNSKEY y las firmas de la zona autoritativa y compara después el DS publicado por el padre. Fíjate en los periodos de validez de las firmas y en los cambios recientes del proveedor. Una consulta genérica de dominio a IP puede indicarte que la resolución falló, pero no necesariamente explicará qué eslabón de DNSSEC está roto; para esa pregunta más profunda usa un diagnóstico que entienda DNSSEC. Anota en una nota de incidente el resolvedor, el resultado de la validación y la hora de la consulta para que el proveedor pueda investigar un caso reproducible.

DNSSEC refuerza la autenticidad de los datos, pero la exactitud operativa sigue importando. No puede evitar que la cuenta del propietario de un dominio se vea comprometida ni hacer correcto un registro incorrecto; autentica los datos publicados de acuerdo con las claves configuradas. Para el contexto básico, consulta la resolución DNS explicada y los tipos de registro DNS. Activa DNSSEC cuando puedas mantener la cadena y supervisarla durante las renovaciones y las migraciones, en lugar de tratarlo como un interruptor de una sola vez cuya corrección se puede dar por supuesta indefinidamente.

Trata las rotaciones de claves como cambios coordinados

Una rotación de claves de DNSSEC cambia el material criptográfico del que dependen los resolvedores validadores. La secuencia segura exacta depende del proveedor que firma y de si la rotación es gestionada o manual. Sigue el proceso documentado para que las claves antiguas y nuevas se solapen como corresponda, las firmas sigan siendo válidas y los datos DS del padre coincidan con las claves publicadas en cada etapa. No copies un valor DS de una captura obsoleta del panel ni lo borres solo porque una consulta no relacionada superó el tiempo de espera. Tras una rotación, verifica con más de un resolvedor validador de DNSSEC y conserva los registros de eventos del proveedor. Si la validación falla, anota el dominio, el resolvedor, el código de respuesta y la hora, y comprueba las firmas y el vínculo DS antes de tocar los registros de la aplicación. Una rotación controlada y con supervisión es mucho más segura que un intento de emergencia de reparar la cadena cuando los navegadores y los sistemas de correo ya han empezado a fallar.