DNSSEC ve SSL Güvenliği

DNSSEC, DNS yanıtlarının gerçekten alan adı sahibinden geldiğini ve yolda değişmediğini kriptografik imzalarla doğrulatan bir uzantıdır. SSL/TLS ise tarayıcı ile sunucu arasındaki bağlantıyı şifreler ve sunucunun kimliğini sertifikayla kanıtlar. Biri isim çözümlemesini, diğeri iletişimi korur.

Neden birlikte düşünülmeli?

• DNS sahteciliği (cache poisoning) ile kullanıcı sahte bir IP'ye yönlendirilebilir. TLS sertifikası bunu çoğu zaman yakalar, ancak saldırgan alan adı doğrulamasını aşıp sertifika alabilirse risk büyür.
• CA'lar DNS tabanlı doğrulamada (DCV) DNS yanıtlarına güvenir; DNSSEC bu güveni artırır.
• CAA, TLSA gibi kayıtların güvenilirliği DNSSEC imzasına bağlıdır.

DNSSEC'in zincirleme yapısı

1. Alan adı bölgesi anahtarla (ZSK/KSK) imzalanır; kayıtlar RRSIG ile imzalanır.
2. Bölgenin KSK özeti, üst alan adına (ör. .com.tr) DS kaydı olarak kaydedilir.
3. Doğrulayan çözümleyici kökten başlayarak zinciri kontrol eder.

Kontrol komutları

dig DNSKEY alanadi.com +short
dig DS alanadi.com +short
dig alanadi.com A +dnssec

Doğrulayan bir çözümleyiciden gelen yanıtta ad (authenticated data) bayrağı görülür.

Sık hatalar

• DNS sağlayıcısını değiştirirken DS kaydını güncellemeyi unutmak; alan adı "bogus" sayılır ve çözümlenemez.
• Anahtar döndürme (rollover) sırasında eski ve yeni anahtarın yayın sürelerini yanlış ayarlamak.
• DNSSEC'in sertifikanın yerini tuttuğunu sanmak; DNSSEC veriyi şifrelemez.

Uygulama önerisi

Alan adı kayıt firmanız ve DNS sağlayıcınız DNSSEC'i destekliyorsa etkinleştirmeden önce DS kaydı sürecini ve TTL sürelerini öğrenin. Yanlış yapılandırma alan adınızın doğrulayan çözümleyicilerde tamamen erişilemez olmasına yol açabilir, bu yüzden önce düşük riskli bir alan adında deneme yapın. Etkinleştirdikten sonra sağlık kontrolünü düzenli yapın.

Özet olarak DNSSEC ve SSL/TLS birbirinin alternatifi değil, tamamlayıcısıdır. Sitenizin HTTPS tarafı için SSL sertifikaları, alan adı yetkilendirmesi için CAA kaydı (bilgi bankası) konularına bakabilirsiniz.