Verificador DNSSEC

El hueco que cierra DNSSEC

Cuando tu ordenador pregunta “¿cuál es la dirección de example.com?”, la respuesta vuelve como un paquete pequeño sin protección. El DNS original no le da al receptor ninguna forma de comprobar quién la escribió. Alguien situado entre tú y el servidor de nombres, o alguien que cuela una respuesta falsa en la memoria de un resolvedor, puede enviar visitantes y correo a la máquina que elija.

DNSSEC añade firmas. El dueño de una zona firma cada conjunto de registros con una clave privada y publica la clave pública correspondiente en la zona como un registro DNSKEY. Un resolvedor que recibe una respuesta recibe también su firma (RRSIG) y puede verificar que los registros son exactamente los que publicó el dueño. DNSSEC no cifra nada y no oculta qué nombres consultas. Lo único que hace es demostrar que una respuesta es auténtica.

Una cadena de huellas digitales

Una clave pública que está en el mismo lugar que los datos no prueba gran cosa, porque un falsificador podría reemplazar ambos. Por eso cada zona le pide a la zona superior que responda por ella. La zona padre publica un registro DS, una huella corta (digest) de la clave de la hija, y firma ese registro con su propia clave. La clave del padre la avala su propio padre de la misma manera, hasta llegar a la zona raíz. La clave de la raíz es lo único que un resolvedor tiene que conocer de antemano, y viene incluida en el software del resolvedor.

Para example.com el camino es este: clave de la raíz, DS de com en la raíz, claves de com, DS de example.com en com, claves de example.com, registros firmados. Si falta un eslabón o es incorrecto, la prueba falla.

El registro DS es la parte que vive fuera de tu proveedor de DNS. Se entrega al registry a través de tu registrador, y la mayoría de los fallos vienen de esa separación.

Qué hace esta comprobación

Para la raíz, la zona de nivel superior y cada zona hasta tu dominio, nuestro servidor lee los registros DS en la zona padre y los registros DNSKEY de la zona. Los lee a través de resolvedores públicos con la validación desactivada (la bandera “checking disabled”), así que puede inspeccionar incluso una zona rota. De cada clave calcula el key tag, y de cada DS recalcula el digest a partir de la clave con la misma función hash (RFC 4034) y compara los dos byte por byte.

Después consulta a tres resolvedores públicos que validan (Cloudflare, Google y Quad9) el registro SOA del dominio, esta vez con la validación activada. Un resolvedor que validó la respuesta activa la bandera AD (“authenticated data”). Uno que encontró un fallo responde SERVFAIL. Nuestro servidor compara las huellas por su cuenta, pero no verifica las firmas. Ese veredicto les corresponde a los resolvedores.

La comprobación también señala algoritmos retirados o débiles (RSA/MD5, DSA, RSA/SHA-1, digests SHA-1 en un DS), un DS que quedó de una clave antigua, firmas a menos de tres días de su fecha de fin, y si la zona usa NSEC o NSEC3 para demostrar que un nombre no existe.

Arreglar una cadena rota

Una cadena rota es peor que no tener DNSSEC, porque los resolvedores que validan se niegan a responder. Suele pasar así: el dominio se mudó a un proveedor de DNS nuevo, el registro DS viejo se quedó en el registrador, y ahora apunta a una clave que ya no existe.

1. Para volver a estar en línea rápido, borra el registro DS en el registrador. El dominio queda sin firmar y funciona para todos cuando caduquen las cachés, normalmente en un día.
2. Para conservar DNSSEC, abre la página de DNSSEC de tu proveedor de DNS actual, copia el registro DS que muestra (key tag, algoritmo, tipo de digest, digest) y escríbelo en el registrador en lugar del viejo.
3. Antes de la próxima mudanza, quita primero el registro DS, espera un día, cambia los servidores de nombres, y luego firma y publica el nuevo DS.

Si el veredicto es “a medio configurar”, termina el trabajo publicando el registro DS o desactiva la firma en el proveedor de DNS.