DNSSEC

DNSSEC — расширение DNS, которое проверяет подлинность ответа от DNS-сервера, т.е. защищает от подмены IP-адресов. Это позволяет защитить ваш сайт от кибер-атак (загрязнения кеша DNS-серверов, перенаправления или подмены DNS-запросов).

DNSSEC не может обеспечить тотальную защиту вашего сайта. Он

• НЕ защищает от DDOS-атак;
• НЕ гарантирует конфиденциальность обмена данными;
• НЕ шифрует информацию веб-сайтов.

Используйте DNSSEC в комплекте с SSL-шифрованием, защитой от DDOS-атак и двухступенчатой аутентификацией, чтобы никто не смог взломать ваш сайт.

Для каких доменов можно подключить DNSSEC?

На текущий момент услуга DNSSEC работает только для доменов в зонах .RU, .SU, .РФ, .COM, .NET, .NAME. Список зон будет пополняться.

Как работает DNSSEC?

В системе DNS долгое время не было механизмов защиты от подмены информации. Это значит, что операция обмена данными между клиентом (резолвером) и сервером провайдера не была застрахована от вторжения «третьей стороны» (злоумышленника). Он перехватывает запрос резолвера, возвращает ему произвольный IP-адрес, вместо запрашиваемого. Также атака переходит и на серверы провайдера: их кеш заполняется ложными данными.

Протокол-DNSSEC исключает из цепи возможного злоумышленника. Если ответ на запрос резолвера проходит проверку на авторитетность, то «кража» и «подмен» будут обнаружены и предотвращены сразу.

DNSSEC работает по тому же принципу, что и цифровая подпись. С помощью ключей ассиметричного шифрования обеспечивается сохранность, аутентичность и безопасность передачи ресурсных записей доменных зон по DNS-запросам.

Ключ состоит из 2 частей:

• Секретная часть известна только владельцу ключа и хранится в безопасном месте. Используется для генерирования электронной подписи.
• Публичная часть может быть опубликована и доступна для проверки подписей, осуществленных секретной частью ключа. Открытая часть ключа подписи вычисляется, как значение некоторой функции от закрытой части ключа, но знание открытой части ключа не дает возможности определить закрытый ключ.

В работе DNSSEC используется 2 типа ключей:

1. ZSK — ключ подписывания зоны. Используется для подписывания наборов ресурсных записей доменной зоны. Обычно, имеется один ключ, которым подписываются данные зоны, но допускается и несколько ключей. Например, могут быть ключи для каждого из разных алгоритмов цифровой подписи. Важной концепцией DNSSEC является то, что ключ, которым подписаны данные зоны, ассоциирован с самой зоной, а не с ответственным сервером имён зоны.
2. KSK — ключ подписывания ключей. Используется для подписывания ключей ZSK. Он также связывает цепочкой доверия вашу и родительскую доменные зоны.

Как заказать услугу DNSSEC?

Услуга DNSSEC входит в состав нескольких пакетов услуг:

1. Premium DNS;
2. Поддержка DNS.

• Если ваш домен делегирован на DNS-серверы REG.RU «ns1.reg.ru» и «ns2.reg.ru», закажите услугу Premium DNS. Для этого воспользуйтесь инструкцией: Как заказать Premium DNS;

• Если ваш домен находится на обслуживании у другого регистратора, закажите услугу Поддержка DNS.

• Если ваш домен делегирован на сторонние DNS, воспользуйтесь информацией ниже.

Управление услугой DNSSEC

Чтобы изменить настройки DNSSEC:

1. 1Авторизуйтесь на сайте REG.RU.
2. 2Перейдите в раздел «Мои домены».
3. 3

   Выберите домен, на котором установлена услуга DNSSEC и кликните по нему:

4. 4

   В меню «Управление доменом» нажмите на Управление DNSSEC:

5. 5

   На открывшейся странице вы можете управлять настройками услуги DNSSEC:

   Как включить DNSSEC?

   На открывшейся странице отображается текущий статус услуги. Нажмите Включить, чтобы активировать DNSSEC:

   Как выключить DNSSEC?

   Чтобы выключить услугу DNSSEC нажмите кнопку Выключить:

   Как обновить ключи KSK/ZSK?

   Чтобы обновить ключ, нажмите на соответствующую кнопку Обновить ключ…:

   После этого ваша заявка попадёт в очередь на генерирование нового ключа:

Для безопасности рекомендуется обновлять ключи со следующей периодичностью:

• ZSK — каждые 2-3 месяца;
• KSK — раз в 6 месяцев.

Как мне воспользоваться DNSSEC, если мой домен не обслуживается в REG.RU?

Чтобы воспользоваться услугой DNSSEC для домена, который находится на обслуживании у другого регистратора:

1. 1Авторизуйтесь на сайте REG.RU.
2. 2Закажите услугу Поддержка DNS.
3. 3В меню управления услугой «Поддержка DNS» перейдите в пункт Управление зоной и перенесите настройки зоны.
4. 4Делегируйте домен на DNS-серверы REG.RU: «ns1.reg.ru» и «ns2.reg.ru».
5. 5Перейдите в раздел Мои хостинг и услуги.
6. 6

   Нажмите на услугу «Поддержка DNS»:

7. 7

   В меню «Управление услугой» нажмите Управление DNSSEC:

8. 8

   Нажмите Включить DNSSEC, чтобы создать KSK ключ и DS запись:

9. 9

   Передайте регистратору вашего домена KSK ключ и DS запись:

Как мне воспользоваться DNSSEC, если мой домен делегирован на сторонние DNS?

Если ваш домен зарегистрирован в REG.RU, но используются DNS стороннего хостинг-провайдера, в таком случае выполните следующие действия:

1. 1Подключите услугу DNSSEC у вашего хостинг-провайдера, после чего вам будет предоставлена открытая часть KSK ключа (запись DS).
2. 2Скопируйте у вашего хостинг-провайдера записи DNSKEY и DS.
3. 3Авторизуйтесь на сайте REG.RU.
4. 4Перейдите в раздел Мои домены.
5. 5

   Кликните на домен:

6. 6

   В меню «Управление доменом» нажмите Управление DNSSEC:

7. 7

   Вставьте полученные от вашего хостинг-провайдера DNSKEY и DS записи. Каждая запись добавляется с новой строки:

   

8. 8Нажмите Добавить.