ما هو DNSSEC؟
DNSSEC هو مجموعة من امتدادات الأمان لبروتوكول DNS توفّر وسيلة للتحقّق من صحة سجلات DNS. يتيح هذا منع الأنشطة الخبيثة مثل تسميم ذاكرة التخزين المؤقت (cache poisoning)، والتصيّد الاحتيالي (phishing)، وهجمات أخرى.
الغرض من DNSSEC هو حماية عملاء الإنترنت من بيانات DNS المزيّفة عبر التحقّق من التوقيعات الرقمية المضمّنة في البيانات.
كيف يعمل
ينشئ DNSSEC سجلًا مخصصًا يحمل توقيعًا رقميًا لكل سجل مورد (resource record). السمة الأساسية للتوقيع الرقمي هي استخدام التشفير بالمفتاح العام (public key cryptography) لضمان أصالة سجلات DNS. يمكن لأي عضو في النظام التحقّق من التوقيع، لكن فقط من يملك المفتاح السرّي يمكنه توقيع بيانات جديدة أو معدَّلة.
تُنشر المفاتيح العامة كسجل مورد من نوع DNSKEY إلى جانب سجلات الموارد الأخرى. يُطلق على سلسلة السجلات التي تحدد المفاتيح العامة اسم سلسلة الثقة (chain of trust). يُتحقّق من أصالة المفتاح عبر بصماته (fingerprint، hashes) التي تُرسل إلى النطاق الأصل كسجلات DS. تُرسل أيضًا بصمات المفاتيح العامة للنطاق الأصل إلى النطاقات الأصل المقابلة. تُبنى سلسلة الثقة وصولًا إلى النطاق الجذر (root zone) الذي يُنشر مفتاحه العام وبصماته في الوثائق الرسمية لمنظمة ICANN.
يستخدم DNSSEC نوعين من المفاتيح:
- ZSK (Zone Signing Key) — يُستخدم هذا المفتاح لتوقيع السجلات ضمن النطاق؛
- KSK (Key Signing Key) — يُستخدم هذا المفتاح لتوقيع المفاتيح.
نوصي بتعيين قيم أكبر لطول المفتاح وفترة التحديث لمفتاح KSK مقارنةً بمفتاح ZSK. يُستخدم مفتاح ZSK في كل مرة يُعدَّل فيها نطاق الدومين أو يُحدَّث. استخدام مفتاح قصير يسهّل توقيع النطاق، كما أن فترة تحديث قصيرة تضمن مستوى أمان عالٍ. تُستخدم مفاتيح KSK فقط لتوقيع المفاتيح، لذا فهي لا تُستخدم بقدر ما يُستخدم ZSK. المفتاح الطويل لا يؤثر على الكفاءة. كما أنه من الآمن تحديد فترة تحديث طويلة لمفتاح طويل. فترة التحديث الطويلة لمفاتيح KSK تتيح إرسال سجلات DS إلى النطاق الأصل بشكل أقل تكرارًا.
لتجنّب اختراق مفاتيح DNSSEC، يتم تحديث المفاتيح. تُحدَّث المفاتيح على مراحل حتى تتوفّر للخوادم الثانوية (slave servers) وخوادم التخزين المؤقت لـ DNS مهلة كافية للمزامنة مع خادم DNS الرئيسي.
خوارزمية تحديث مفتاح KSK:
يُنشر سجل DS الخاص بمفتاح KSK الجديد في النطاق الأصل. في ISPmanager، يُنشأ مفتاح KSK التالي مباشرة بعد توقيع النطاق أو إزالة مفتاح KSK القديم. يمكن للمستخدم نشر سجل DS الخاص بالمفتاح الجديد مسبقًا. لتحديث مفتاح KSK بشكل صحيح في ISPmanager، يجب نشر سجل DS الخاص بالمفتاح الجديد في النطاق الأصل قبل شهر واحد من تحديث مفتاح KSK؛
تغيير مفتاح KSK. يُستبدل مفتاح KSK النشط بمفتاح جديد. في ISPmanager، يُغيَّر المفتاح قبل أسبوعين من تحديث مفتاح KSK؛
إزالة سجلات DS الخاصة بالمفتاح القديم من النطاق الأصل. يُنشئ ISPmanager مفتاحًا جديدًا يتيح للمستخدمين تنفيذ العمليات المطلوبة في النطاق الأصل: حذف سجل DS الخاص بالمفتاح القديم وإضافة سجلات DS الخاصة بالمفتاح الجديد.
خوارزمية تحديث مفتاح ZSK:
إنشاء ونشر مفتاح ZSK جديد في نطاق الدومين. تُنفَّذ هذه العملية في ISPmanager قبل أسبوعين من تغيير المفتاح. لا يُستخدم المفتاح الجديد لتوقيع النطاق بعد؛
تغيير مفتاح ZSK. يُفعَّل مفتاح ZSK المنشور حديثًا. لم يعد مفتاح ZSK القديم يُستخدم لتوقيع النطاقات؛
حذف مفتاح ZSK القديم غير النشط. تُنفَّذ هذه العملية بعد أسبوعين من تغيير مفتاح ZSK.
عند إعداد DNSSEC، سيزداد حجم الحزمة (package). عند تجاوز 512 بايت، سيستخدم DNS بروتوكول TCP. بعض أجهزة التوجيه (routers) لا تسمح بتشغيل DNS عبر TCP (المنفذ 53 مغلق).
عند تجاوز حد MTU، سيتم ترشيح (filtered) DNS. الـ MTU هو أقصى وحدة نقل (maximum transmission unit) لحزمة واحدة يمكن نقلها دون تجزئة. الحجم الأمثل لـ MTU هو 1500 بايت.
كيف تقيّم هذا الدليل؟