DNSSEC

DNSSEC (Domain Name System Security Extensions) stanowi rozwiązanie zwiększające bezpieczeństwo DNS. DNSSEC wprowadza do DNS kryptograficzny mechanizm kluczy asymetrycznych, które dają możliwość uwierzytelnienia danych otrzymanych w procesie rozwiązywania nazw domen internetowych na adresy IP. W serwisie Domeny.tv oferujemy DNSSEC dla rejestrów domen .pl oraz .eu.

Proces uwierzytelniania informacji otrzymanych protokołem DNS opiera się o tak zwany łańcuch zaufania. Wymaga to poprawnego podpisania poszczególnych poziomów stref domen zgodnie z hierarchiczną strukturą DNS. Oznacza to, że aby zabezpieczyć nazwę domeny należy podpisać strefę tej domeny i wprowadzić specjalny kryptograficzny skrót z części publicznej klucza podpisującego strefę (rekord DS, z ang. delegation signer) do strefy domeny nadrzędnej w hierarchii DNS, w której nazwa domeny podlegająca zabezpieczeniu została zarejestrowana. Tu z kolei wspomniany skrót powinien zostać podpisany kluczem prywatnym, a jego skrót przekazany w analogiczny sposób do strefy nadrzędnej. Taki łańcuch budowany jest aż do strefy Root (najwyższy poziom w hierarchii DNS), gdzie znajduje się klucz określany jako Trust Anchor, który powszechnie przyjmuje się, że jest zaufany.

W Domeny.tv proces uruchomienia DNSSEC dzieli się na dwa etapy:

1. Wygenerowanie kluczy kryptograficznych na serwerze, gdzie znajduje się Twoje konto hostingowe.
2. Konfigurację DNSSEC dla domeny w panelu administracyjnym Domeny.tv

Generowanie kluczy DNSSEC w cPanelu

W celu wygenerowania kluczy DNSSEC zaloguj się do swojego konta w cPanel.

Z zakładki “DOMENY” wybierz “Zone Editor”.

Znajdź domenę, dla której chcesz uruchomić DNSSEC. Kolejno kiknij ikonkę “DNSSEC”, a następnie “Create Key”.

Po otwarciu okna konfiguracyjnego, przejdź do ustawień zaawansowanych klikając przycisk “Dostosuj”.

Zalecamy zaznaczenie 3 pól wyboru:

• Sekcja Key Setup - Classic
• Algorithm – EDCSA Curve P-256 with SHA-256 (Algorithm 13)
• Stan – Active

Zatwierdź zmiany przyciskiem “Utwórz”.

Wygenerowane klucze DNSSEC wprowadź do konfiguracji domeny.

Konfiguracja DNSSEC dla domen .pl

Aby wprowadzić rekordy DS dla domeny .pl, zaloguj się do panelu administracyjnego domen. Z zakładki "Domeny" wybierz "Domeny .pl" i znajdź swoją domenę.

Kliknij przycisk edycji konfiguracji DNSSEC.

Po załadowaniu strony zobaczysz instrukcję wprowadzania rekordów DS dla domeny.

NASK (rejestr domen .pl) przyjmuje rekordy DS o następujących wartościach typu algorytmu i funkcji skrótu:

Typ algorytmu klucza (numer, opis, specyfikacja)

• 3 DSA/SHA-1 [RFC2536]
• 5 RSA/SHA-1 [RFC3110]
• 6 DSA-NSEC3-SHA1 [RFC5155]
• 7 RSASHA-NSEC-SHA1 [RFC5155]
• 8 RSA/SHA-256 [RFC5702]
• 10 RSA/SHA-512 [RFC5702]
• 12 GOST R 34.10-2001 [RFC5933]
• 13 ECDSA Curve P-256 with SHA-256 [RFC6605]
• 14 ECDSA Curve P-384 with SHA-384 [RFC6605]

Typ funkcji skrótu (numer, opis, specyfikacja)

• 1 SHA-1 [RFC3658]
• 2 SHA-256 [RFC4509]
• 3 GOST R 34.11-94 [RFC5933]
• 4 SHA-384 [RFC6605]

Dodaj nowe rekordy i wprowadź następujące wartości, podobnie jak na screenie:

Po prawidłowym wprowadzeniu danych zobaczysz komunikat “Zmiany prawidłowo zapisane”. Konfigurację DNSSEC zweryfikujesz zewnętrznymi narzędziami np. bazą WHOIS czy https://dnssec-analyzer.verisignlabs.com, gdzie wystarczy wprowadzić nazwę domeny.

Konfiguracja DNSSEC dla domen .eu

Procedura podpisywania domen .eu jest inna niż w przypadku domen polskich. W celu podpisania domeny .eu w cPanelu należy wygenerować klucze KSK i ZSK. Do formularza należy dodać wyłącznie klucz publiczny KSK.

EURid (rejestr domen .eu) przyjmuje klucze wygenerowane za pomocą algorytmu NSEC3RSASHA1 (typ 7 - RSA-SHA1-NSEC3).

Szczegółowe informacje na temat wsparcia DNSSEC

Zwracamy uwagę, iż korzystanie z DNSSEC jest przeznaczone wyłącznie dla zaawansowanych administratorów domen. Wprowadzenie niepoprawnych wartości DS może skutkować niedostępnością domeny i usług z nią związanych.

Dodatkowe informacje są dostępne na stronie konfiguracji danej nazwy domeny w naszym panelu administracyjnym.