DNSSEC: come si autenticano le risposte DNS

Le DNS Security Extensions, o DNSSEC, aggiungono ai dati DNS un'autenticazione crittografica. Aiutano un resolver con validazione a verificare che una risposta sia associata alla zona prevista e non sia stata alterata durante il tragitto. Il DNSSEC non cifra le query DNS, non nasconde il dominio richiesto e non rende sicuro l'utilizzo di un sito web. Fornisce una catena di firme e chiavi che consente al resolver di convalidare i dati firmati risalendo fino a una radice di fiducia. Quando la catena è configurata correttamente, il resolver ottiene una prova più solida che la risposta sia autentica; quando è interrotta, la validazione può far fallire lookup altrimenti ordinari.

I record di una catena DNSSEC

Una zona firmata pubblica record DNSKEY che contengono le chiavi pubbliche usate per convalidare le firme. I record RRSIG trasportano le firme degli insiemi di record e i record DS nella zona padre collegano la chiave di una zona figlia alla catena di fiducia del padre. I dati NSEC o NSEC3 possono supportare la negazione autenticata quando un nome o un record non esiste. In genere gli operatori si affidano al proprio provider DNS o al registrar per creare e mantenere questi valori, ma le responsabilità possono essere divise: la zona figlia viene firmata dall'host DNS, mentre il record DS del padre viene pubblicato tramite il registrar. Un disallineamento tra i due è una causa frequente dei problemi di validazione.

Un resolver con validazione segue la catena di fiducia a partire da un trust anchor configurato, di solito la radice, attraverso le zone padre e figlia. Verifica che le firme siano valide e che i record corrispondano alle chiavi e ai dati di delega. Gli utenti comuni potrebbero non vedere mai questi passaggi, ma l'effetto si nota nell'esito: una risposta firmata valida viene accettata, mentre una catena di firme interrotta può causare SERVFAIL. Un resolver senza validazione può restituire un valore che un resolver con validazione rifiuta, ed è per questo che i guasti DNSSEC possono sembrare legati a una specifica rete. Confrontare i resolver e controllare lo stato della validazione è più istruttivo che dare per scontato che l'hostname semplicemente non abbia record.

Come si verificano i guasti DNSSEC

I casi di guasto più comuni sono: lasciare un record DS obsoleto presso il registrar dopo aver cambiato provider DNS, pubblicare chiavi che non corrispondono alla zona firmata, lasciar scadere le firme perché la firma è stata interrotta o cambiare la delega senza coordinare padre e figlio. L'attivazione del DNSSEC o la rotazione di una chiave devono seguire la procedura documentata dal provider ed essere verificate da un resolver con validazione indipendente. Se il DNSSEC viene disattivato, dati DS obsoleti possono fare più danni dell'assenza di un record DS, perché i validatori possono continuare ad aspettarsi una catena che la zona figlia non fornisce più. Considera il registrar e l'host DNS come parti collegate di un unico processo.

• Chiedi se il provider DNS firma la zona e gestisce la rotazione delle chiavi.
• Conferma che il valore DS presso il registrar corrisponda alle istruzioni correnti del provider.
• Esegui un test tramite un resolver con validazione dopo aver attivato, disattivato o migrato il DNSSEC.
• Pianifica con cura le modifiche delle chiavi e conserva un percorso di rollback.
• Non confondere l'autenticazione DNSSEC con il trasporto DNS cifrato.

Risolvere un errore di validazione

Se un dominio restituisce SERVFAIL dai resolver con validazione, controlla la catena DNSSEC prima di modificare record A o MX che non c'entrano. Conferma i DNSKEY e le firme della zona autorevole, poi confronta il DS pubblicato dal padre. Guarda i periodi di validità delle firme e le modifiche recenti del provider. Un generico lookup da dominio a IP può dirti che la risoluzione è fallita, ma non spiega necessariamente quale anello DNSSEC sia rotto: per questa domanda più approfondita usa una diagnostica che conosca il DNSSEC. Tieni una nota dell'incidente con il resolver, il risultato della validazione e l'ora della query, così il provider potrà indagare su un caso riproducibile.

Il DNSSEC rafforza l'autenticità dei dati, ma l'accuratezza operativa resta importante. Non può impedire che l'account del titolare di un dominio venga compromesso né rendere corretto un record sbagliato: autentica i dati pubblicati in base alle chiavi configurate. Per un inquadramento di base, vedi la risoluzione DNS spiegata e i tipi di record DNS. Attiva il DNSSEC quando sei in grado di mantenere la catena e di monitorarla attraverso rinnovi e migrazioni, invece di trattarlo come un interruttore da girare una volta, la cui correttezza si dà per scontata per sempre.

Tratta la rotazione delle chiavi come una modifica coordinata

La rotazione di una chiave DNSSEC cambia il materiale crittografico da cui dipendono i resolver con validazione. L'esatta sequenza sicura dipende dal provider che firma e dal fatto che la rotazione sia gestita o manuale. Segui la procedura documentata, in modo che le chiavi vecchie e nuove si sovrappongano come richiesto, le firme restino valide e i dati DS del padre corrispondano alle chiavi pubblicate nella fase giusta. Non copiare un valore DS da uno screenshot obsoleto di una dashboard né eliminarlo solo perché un lookup non correlato è andato in timeout. Dopo una rotazione, verifica con più di un resolver che esegue la validazione DNSSEC e conserva i log degli eventi del provider. Se la validazione fallisce, annota dominio, resolver, codice di risposta e orario, poi controlla le firme e il collegamento DS prima di toccare i record dell'applicazione. Una rotazione controllata e monitorata è molto più sicura di un tentativo d'emergenza di riparare la catena quando browser e sistemi di posta hanno già iniziato a fallire.