מה נחתם ומה צריך לאמת
במקום להסתמך רק על תשובה שהתקבלה, DNSSEC מוסיף מידע שמאפשר לבדוק חתימות בהקשר שרשרת האמון. ההגנה תלויה בפרסום ובהגדרות תקינים ובאימות אצל הגורם הפותר. תצוגת מתג פעיל אצל ספק יחיד אינה לבדה בדיקה של כל השרשרת.
התייחסו אליו כשכבה מוגדרת, ולא כציון אבטחה לכל הדומיין. תוכן זדוני באתר, חשבון מנהל שנפגע או תעודת TLS שפגה הם שאלות נפרדות. צריך להגן גם על מי שמוסמך לשנות את האזור והרישום.
מה הקשר בין הספק לרשומת DS
בהקשר תצורת ספק נפוצה, רשומת DS בצד ההורה קושרת למידע המפתחות של האזור. צריך לתאם את המידע מול הרשם והספקים, ולא להניח שעצם יצירת חתימות במערכת אחת משלימה אוטומטית כל שלב.
תיעוד Cloudflare מציג ערכי DS והגדרות בהתאם לאופן ניהול הדומיין. זהו מימוש מוצר; הכללים המדויקים והאוטומציה תלויים בשירות. שינוי מפתחות או ספק בלי התייחסות לרישום הקיים ולמטמון עלול להשאיר שרשרת שאינה תואמת.
שלוש שכבות שונות של הגנה
הטבלה מפרידה בין שאלות של פתרון שם, תעבורה והרשאות. אף אחת מהן אינה תחליף לבדיקת פעילות העסק.
| מנגנון | מה הוא בוחן או מחזק | מה אינו מבטיח |
|---|---|---|
| DNSSEC | אימות נתוני DNS בהקשר שרשרת אמון | הצפנת תוכן האתר |
| HTTPS | הגנות לחיבור HTTP באמצעות TLS | תוכן אמין או נקי מחולשות |
| MFA | אימות כניסה לפי השיטה הנתמכת | תקינות כל רשומה או חתימה |
| ביקורת הרשאות | מי יכול לשנות מה | זמינות מתמדת של ספק |
דוגמה: החלפת ספק DNS עם שרשרת ישנה
זו דוגמה להמחשה בלבד. העסק מעביר שרתי שמות, אך פרטי האימות אצל ההורה עדיין מתייחסים למפתחות הישנים. פותר מאמת יכול לדחות תשובה שאינה מתאימה לשרשרת. עצם זה שהרשומה נראית אצל ספק היעד אינו מוכיח שהמעבר תקין לכל נתיב.
לא פותרים זאת במחיקה גורפת של רשומות ללא תכנון. מנהל מורשה בוחר מסלול לפי תמיכת הספקים והרשם, מתעד תזמון ובודק את האימות והתפקוד. במדריך שינוי DNS הנושא מופיע כתלות מפורשת לפני חלון העבודה.
איך בעל עסק יכול להיערך לבדיקה
בררו מי מנהל את האזור, מי מוסמך לשנות את פרטי הרישום והאם קיים תהליך מוסכם למעבר או לביטול הגדרה. תעדו את המצב בערוץ מורשה ובקשו ראיות לבדיקה מהאחראי, בלי להעביר סיסמאות או מפתחות בטופס פנייה.
הבודק הציבורי באתר אינו מאמת שרשרת DNSSEC מלאה. אין להסיק מהיעדר בדיקה אוטומטית שההגנה חסרה או תקינה. אם האתר או הדואר מפסיקים לעבוד לאחר שינוי, שומרים פרטים ומבררים את השכבה שנכשלה לפני שמשנים עוד רכיבים.