DNSSEC explicado: como as respostas DNS são autenticadas

As extensões de segurança do DNS, ou DNSSEC, adicionam autenticação criptográfica aos dados DNS. Elas ajudam um resolvedor com validação a verificar se uma resposta está associada à zona esperada e não foi alterada em trânsito. O DNSSEC não criptografa as consultas DNS, não esconde o domínio solicitado nem torna um site seguro para uso. Ele fornece uma cadeia de assinaturas e chaves que permite ao resolvedor validar os dados assinados até chegar a uma raiz confiável. Quando a cadeia está configurada corretamente, o resolvedor tem uma evidência mais forte de que a resposta é autêntica; quando ela está quebrada, a validação pode fazer consultas que seriam comuns falharem.

Os registros de uma cadeia DNSSEC

Uma zona assinada publica registros DNSKEY com as chaves públicas usadas para validar as assinaturas. Os registros RRSIG carregam as assinaturas dos conjuntos de registros, e os registros DS na zona pai conectam a chave de uma zona filha à cadeia de confiança do pai. Dados NSEC ou NSEC3 podem sustentar a negação autenticada quando um nome ou registro não existe. Em geral, os operadores contam com o provedor de DNS ou com o registrador para criar e manter esses valores, mas as responsabilidades podem ser divididas: a zona filha é assinada pelo host de DNS, enquanto o registro DS do pai é publicado por meio do registrador. Uma divergência entre os dois é uma causa comum de problemas de validação.

Um resolvedor com validação segue a cadeia de confiança a partir de uma âncora de confiança configurada, em geral a raiz, passando pelas zonas pai e filha. Ele verifica se as assinaturas são válidas e se os registros correspondem às chaves e aos dados de delegação. Usuários comuns talvez nunca vejam essas etapas, mas o efeito aparece no resultado: uma resposta assinada e válida é aceita, enquanto uma cadeia de assinaturas quebrada pode causar SERVFAIL. Um resolvedor sem validação pode retornar um valor que um resolvedor com validação rejeita, e é por isso que as falhas de DNSSEC podem parecer específicas de uma rede. Comparar resolvedores e verificar o status da validação é mais informativo do que presumir que o hostname simplesmente não tem registros.

Como as falhas de DNSSEC acontecem

Entre os casos comuns de falha estão deixar um registro DS desatualizado no registrador depois de trocar de provedor de DNS, publicar chaves que não correspondem à zona assinada, deixar as assinaturas expirarem porque a assinatura parou de ser feita ou mudar a delegação sem coordenar o pai e o filho. A implantação do DNSSEC ou uma troca de chaves deve seguir o procedimento documentado pelo provedor e ser verificada a partir de um resolvedor com validação independente. Se o DNSSEC for desativado, dados de DS obsoletos podem ser mais prejudiciais do que não ter registro DS, pois os validadores podem continuar esperando uma cadeia que a zona filha já não fornece. Trate o registrador e o host de DNS como partes ligadas de um único processo.

• Pergunte se o provedor de DNS assina a zona e gerencia a rotação de chaves.
• Confirme que o valor de DS no registrador corresponde às instruções atuais do provedor.
• Teste por meio de um resolvedor com validação depois de ativar, desativar ou migrar o DNSSEC.
• Agende as trocas de chave com cuidado e mantenha um caminho de rollback.
• Não confunda a autenticação do DNSSEC com o transporte criptografado de DNS.

Como diagnosticar uma falha de validação

Se um domínio retorna SERVFAIL em resolvedores com validação, verifique a cadeia DNSSEC antes de alterar registros A ou MX que não têm relação com o problema. Confirme o DNSKEY e as assinaturas da zona autoritativa e depois compare com o DS publicado pelo pai. Observe os períodos de validade das assinaturas e as mudanças recentes no provedor. Uma consulta genérica de domínio para IP pode informar que a resolução falhou, mas não necessariamente explicará qual elo do DNSSEC está quebrado; use um diagnóstico que entenda DNSSEC para essa pergunta mais profunda. Mantenha uma anotação do incidente com o resolvedor, o resultado da validação e o horário da consulta, para que o provedor possa investigar um caso reproduzível.

O DNSSEC reforça a autenticidade dos dados, mas a precisão operacional continua importando. Ele não impede que a conta do proprietário de um domínio seja comprometida nem torna correto um registro incorreto; ele autentica os dados publicados de acordo com as chaves configuradas. Para um contexto básico, veja resolução de DNS explicada e tipos de registro DNS. Ative o DNSSEC quando puder manter a cadeia e monitorá-la durante renovações e migrações, em vez de tratá-lo como uma chave liga-desliga de uma só vez, cuja correção possa ser presumida indefinidamente.

Trate a troca de chaves como uma mudança coordenada

Uma troca de chaves do DNSSEC (key rollover) altera o material criptográfico de que os resolvedores com validação dependem. A sequência segura exata depende do provedor de assinatura e de a troca ser gerenciada ou manual. Siga o processo documentado para que as chaves antiga e nova se sobreponham conforme o necessário, as assinaturas continuem válidas e os dados de DS no pai correspondam às chaves publicadas na etapa certa. Não copie um valor de DS de uma captura de tela antiga do painel nem o exclua só porque uma consulta sem relação com o problema deu timeout. Depois da troca, verifique com mais de um resolvedor que valide DNSSEC e guarde os logs de eventos do provedor. Se a validação falhar, registre o domínio, o resolvedor, o código de resposta e o horário e, então, verifique as assinaturas e o vínculo do DS antes de mexer nos registros da aplicação. Uma troca controlada e monitorada é muito mais segura do que uma tentativa emergencial de reparar a cadeia depois que navegadores e sistemas de e-mail começam a falhar.