DNSSEC, DNS cevaplarına kriptografik imza ekler. Çözümleyici bu imzayı doğruladığında cevabın gerçekten alan sahibinden geldiğinden ve yolda değiştirilmediğinden emin olur. Önbellek zehirleme ve DNS yönlendirme saldırılarına karşı bilinen en güçlü önlemdir.
Buna rağmen birçok kurum DNSSEC'i açmaz. Sebep teknik değil, operasyoneldir: imzaların süresi dolar, anahtarlar yenilenmelidir, üst alana (örneğin .tr) bildirilen DS kaydı anahtarla uyumlu kalmalıdır. Bunlardan biri aksarsa, doğrulama yapan her çözümleyici alan adınızı yok sayar. Bakanlık sitesi bir sabah açılmaz.
Riskleri otomasyon ortadan kaldırır
NameDefence'te imzalı bir zone'un yaşam döngüsü Manager tarafından yönetilir:
- İmzalar periyodik olarak ve kayıt değiştikçe kendiliğinden yenilenir.
- ZSK yenilemesi tamamen otomatiktir; yeni anahtar yayınlanır, önbellekler güncellenene kadar beklenir, eski anahtar çekilir.
- KSK yenilemesinde üst alandaki DS kaydı kontrol edilir; yeni DS görünmeden eski anahtar kaldırılmaz.
- Algoritma geçişi (örneğin RSA'dan ECDSA'ya) RFC'lerin önerdiği muhafazakâr sırayla, iki algoritma bir süre birlikte imzalanarak yapılır.
Hangi algoritma?
Yeni kurulumlar için ECDSA P-256 (algoritma 13) önerilir: küçük imza, hızlı doğrulama, geniş destek. Daha yüksek güvenlik seviyesi isteyen kurumlar için ECDSA P-384 ve Ed25519 da desteklenir. Eski RSA zone'lar kesinti olmadan bu algoritmalara geçirilebilir.
Anahtarlar nerede duruyor?
Kamu kurumlarında sık sorulan soru budur. Özel anahtarlar varsayılan olarak Manager veritabanında şifreli saklanır. Daha sıkı gereksinimler için anahtarlar PKCS#11 uyumlu bir donanım güvenlik modülünde (HSM) üretilip saklanabilir; imzalama HSM içinde yapılır ve anahtar cihazdan hiç çıkmaz.
Dinamik içerikte DNSSEC
GSLB gibi sağlık durumuna göre cevabı değişen kayıtlar DNSSEC ile zor bağdaşır. NameDefence sağlık durumu değiştiğinde ilgili kayıtları yeniden imzalar ve havuzun yedek kuralını imzalayıcıda da aynen uygular. Böylece imzalı bir zone'da da yük dengeleme ve felakete karşı yönlendirme çalışır.
Doğrulayan tarafı unutmayın
DNSSEC'in yarısı imzalamaksa diğer yarısı doğrulamaktır. Defender'ın yerel çözümleyicisi kökten başlayarak imza zincirini doğrular. Sahte ya da bozuk imzalı cevap istemciye verilmez, nedenini açıklayan bir hata koduyla reddedilir.
Kısacası
DNSSEC'in zor kısmı imzalamak değil, yıllarca hatasız sürdürmektir. Bu işi takvime ve insana değil otomasyona bıraktığınızda, açmamak için bir sebep kalmaz.