Il Domain Name System è stato costruito per essere veloce. Non è stato costruito per essere sicuro. Quando il DNS fu progettato, negli anni Ottanta, nessuno aveva previsto un mondo in cui gli attaccanti avrebbero provato a falsificare le risposte DNS per reindirizzare i tuoi visitatori verso siti falsi. DNSSEC, abbreviazione di DNS Security Extensions, è stato creato per colmare questa lacuna. Aggiunge firme digitali ai record DNS, così ogni risposta data da un server DNS può essere verificata come autentica prima che il browser si fidi.
Che cos'è DNSSEC?
DNSSEC è un insieme di estensioni di sicurezza aggiunte al protocollo DNS. Funziona allegando una firma crittografica a ogni record DNS del tuo dominio. Quando un resolver cerca il tuo dominio, controlla se la firma corrisponde prima di accettare la risposta. Se la firma manca o non corrisponde, la risposta viene respinta. Questo impedisce agli attaccanti di inserire risposte DNS false nel sistema.
DNSSEC non cambia il modo in cui funziona il DNS. Il processo di ricerca è lo stesso. Il tuo dominio continua a risolversi in un indirizzo IP attraverso una catena di server DNS. La differenza è che ogni passaggio di quella catena ora può essere verificato. Il resolver non si fida e basta della risposta. Controlla una firma crittografica per confermare che la risposta venga da una fonte autorizzata e non sia stata alterata lungo il percorso.
Quale problema risolve DNSSEC?
Senza DNSSEC, le risposte DNS vengono accettate così come sono. Non esiste un modo integrato per controllare se la risposta viene dal server giusto o se è stata modificata in transito. Questo apre la porta a un tipo specifico di attacco chiamato DNS cache poisoning, noto anche come DNS spoofing.
In un attacco di cache poisoning, un attaccante invia risposte DNS falsificate a un resolver prima che arrivi la risposta legittima. Il resolver memorizza la risposta falsa nella cache e la serve a chiunque cerchi quel dominio. Ogni visitatore che digita il tuo dominio nel browser viene mandato a un server controllato dall'attaccante invece che al tuo vero sito.
Il sito falso può essere identico al tuo. I visitatori possono inserire credenziali di accesso, dati di pagamento o informazioni personali senza accorgersi di essere su un server completamente diverso. L'attacco è invisibile al visitatore perché l'URL nel browser mostra ancora il tuo nome di dominio.
DNSSEC lo previene rendendo rilevabili le risposte falsificate. Se la firma non corrisponde, il resolver respinge la risposta e il visitatore non viene mandato a una destinazione falsa.
Come funziona DNSSEC?
DNSSEC usa un sistema di chiavi pubbliche e private per firmare i record DNS. Ecco come funziona il processo a grandi linee.
Quando attivi DNSSEC, il tuo fornitore DNS genera una coppia di chiavi crittografiche per il tuo dominio. La chiave privata serve a creare una firma digitale per ogni record DNS. La chiave pubblica viene pubblicata come record DNS, così i resolver possono accedervi.
Quando un resolver interroga il tuo dominio, riceve la risposta DNS insieme alla firma. Il resolver usa poi la chiave pubblica per verificare che la firma corrisponda ai dati della risposta. Se tutto torna, la risposta è considerata affidabile. Se la firma non è valida o manca, il resolver considera la risposta inaffidabile e non la passa al browser.
Questa verifica funziona attraverso una catena di fiducia. La chiave pubblica del tuo dominio è referenziata da un record DS (Delegation Signer) nella zona superiore. Per esempio, se il tuo dominio è yourbrand.com, la zona .com contiene un record DS che punta alla chiave pubblica del tuo dominio. La zona .com stessa è firmata e verificata dalla zona radice. Ogni livello della catena convalida quello sottostante, dalla radice fino al tuo dominio specifico.
Che cosa succede senza DNSSEC?
Senza DNSSEC, ogni risposta DNS generata dal tuo dominio non è firmata. I resolver accettano qualsiasi risposta arrivi per prima, senza modo di confermare che venga da una fonte legittima. Questo significa che un attaccante ben posizionato può infilare risposte falsificate nel sistema e reindirizzare i tuoi visitatori senza far scattare alcun allarme.
Per la maggior parte dei siti piccoli, il rischio di un attacco mirato di DNS poisoning è basso. Gli attaccanti di solito puntano a bersagli di alto valore come banche, fornitori di posta e grandi piattaforme di e-commerce. Ma il rischio non è zero. Reti Wi-Fi pubbliche, router compromessi e vulnerabilità di certi software resolver possono creare occasioni di DNS spoofing su scala minore.
L'impatto pratico dell'assenza di DNSSEC dipende dalla tua situazione. Se gestisci dati sensibili, accetti pagamenti o usi il sito come principale punto di contatto con i clienti, la verifica aggiuntiva vale la pena.
Ti serve DNSSEC per il tuo dominio?
La risposta onesta è che dipende. DNSSEC aggiunge una protezione reale, ma non è un requisito per ogni dominio.
Dovresti attivare DNSSEC se il tuo sito gestisce pagamenti, raccoglie informazioni sensibili o usa un dominio molto visibile. Siti governativi, servizi finanziari e brand sanitari traggono tutti vantaggio da DNSSEC attivo. Se la sicurezza del dominio è una priorità per il tuo brand, DNSSEC è un livello in più che vale la pena aggiungere.
Potresti non averne bisogno subito se gestisci un sito informativo più piccolo, senza funzioni di accesso, e il tuo registrar non supporta ancora DNSSEC o lo fa pagare extra. Molti siti funzionano bene senza. L'SSL cifra già la connessione tra il visitatore e il server, proteggendo i dati in transito. DNSSEC risolve un problema diverso, cioè l'integrità della ricerca DNS stessa.
Se il tuo registrar lo supporta e la configurazione è semplice, attivarlo ha pochissimi svantaggi. La protezione che aggiunge è reale, anche se il rischio che affronta non riguarda ogni dominio allo stesso modo.
Come si attiva DNSSEC?
Attivare DNSSEC richiede azioni in due posti. Il primo è il fornitore DNS, dove sono ospitati i record DNS del tuo dominio. Il secondo è il registrar, dove è registrato il dominio.
I passaggi generali sono questi.
- Accedi al tuo fornitore DNS e attiva DNSSEC per il tuo dominio. Questo genera le chiavi crittografiche e inizia a firmare i tuoi record DNS.
- Copia il record DS che il fornitore DNS ti dà. Questo record contiene un riferimento alla chiave pubblica del tuo dominio.
- Accedi al tuo registrar e aggiungi il record DS alle impostazioni del dominio. Questo collega le chiavi DNSSEC del tuo dominio alla zona superiore.
- Aspetta la propagazione. Come qualsiasi modifica a un record DNS, può servire qualche ora perché il nuovo record DS si propaghi su internet.
- Verifica la configurazione con uno strumento online di convalida DNSSEC per confermare che tutto funzioni.
Se registrar e fornitore DNS sono la stessa azienda, il processo è più semplice. Alcuni fornitori gestiscono entrambi i passaggi da un'unica dashboard. Altri richiedono di copiare i record tra due account separati.
L'errore più comune durante la configurazione è inserire il record DS in modo scorretto. Ricontrolla key tag, numero dell'algoritmo, tipo di digest e valore del digest prima di salvare. Una cifra sbagliata in uno qualsiasi di quei campi interrompe la catena di fiducia e può rendere il dominio irraggiungibile finché l'errore non viene corretto.
Che cosa non fa DNSSEC?
DNSSEC risolve un problema specifico: verificare che le risposte DNS siano autentiche. È importante capire che cosa resta fuori dal suo ambito.
DNSSEC non cifra le tue richieste DNS. Il contenuto di ogni ricerca DNS è ancora visibile a chiunque monitori la rete. Se la riservatezza delle richieste DNS ti interessa, è un problema diverso, risolto da DNS over HTTPS (DoH) o DNS over TLS (DoT), non da DNSSEC.
DNSSEC non cifra il traffico tra il visitatore e il tuo sito. Quello è il compito di un certificato SSL, che crea una connessione cifrata tramite HTTPS. DNSSEC e SSL proteggono cose diverse in fasi diverse della connessione.
DNSSEC non previene tutti i tipi di attacco al tuo dominio. Non impedisce a qualcuno di rubare le credenziali di accesso del tuo registrar e di trasferire il dominio. Non protegge dalle email di phishing che imitano il tuo brand. E non blocca gli attacchi DDoS diretti ai tuoi server DNS. Per queste minacce servono protezioni separate come autenticazione a due fattori, blocco del dominio e mitigazione dei DDoS.
In che cosa DNSSEC è diverso da SSL?
DNSSEC e SSL sono entrambi livelli di sicurezza, ma proteggono parti diverse della connessione tra un visitatore e il tuo sito.
L'SSL (e il suo successore TLS) cifra i dati che passano tra il browser del visitatore e il tuo server web. Una volta stabilita la connessione, tutto ciò che il visitatore invia e riceve è protetto dalle intercettazioni. L'SSL verifica anche che il server con cui sta parlando il visitatore abbia un certificato valido per il tuo dominio.
DNSSEC protegge il passaggio che avviene prima che l'SSL entri in azione. Quando un visitatore digita il tuo dominio, il browser cerca prima l'indirizzo IP tramite il DNS. DNSSEC si assicura che quella ricerca restituisca l'indirizzo IP corretto. Senza, un attaccante potrebbe reindirizzare il visitatore a un server completamente diverso, che potrebbe avere perfino un proprio certificato SSL per un dominio dall'aspetto simile.
Entrambi i livelli hanno uno scopo. L'SSL protegge la conversazione. DNSSEC protegge la direzione che il visitatore prende per iniziare quella conversazione. Usarli entrambi dà ai tuoi visitatori la massima garanzia di trovarsi sul tuo vero sito e che i loro dati siano al sicuro.
Come gestisce WEMASY DNSSEC
WEMASY gestisce il DNS di ogni dominio collegato alla sua piattaforma. Quando costruisci il tuo sito su WEMASY, il DNS del tuo dominio è gestito tramite l'infrastruttura di WEMASY, che comprende certificati SSL, gestione dei nameserver e configurazione dei record DNS. Se il tuo dominio e il tuo registrar supportano DNSSEC, puoi attivarlo aggiungendo il record DS presso il registrar e puntandolo al DNS di WEMASY. Per i dettagli su che cosa è incluso in ogni piano, visita i prezzi.
Riepilogo del Modulo 6
Questo capitolo chiude il modulo sulla sicurezza del dominio. Nei capitoli precedenti hai visto il quadro completo. Hai imparato che cosa significa sicurezza del dominio, come blocco del dominio, protezione della privacy e attenzione ai rinnovi tengono il dominio sotto il tuo controllo, e quali sono le minacce specifiche come hijacking, squatting e truffe sul rinnovo che prendono di mira i proprietari di domini. DNSSEC aggiunge l'ultimo livello proteggendo la ricerca DNS stessa, l'unico passaggio che collega il nome di dominio al tuo sito vero. Con tutte queste protezioni attive, il tuo dominio è coperto dalla registrazione alla risoluzione.
Domande frequenti su DNSSEC
DNSSEC può rompere il mio sito se è configurato in modo scorretto?
Sì. Se il record DS presso il registrar non corrisponde alle chiavi del fornitore DNS, i resolver che convalidano DNSSEC respingeranno del tutto le risposte DNS del tuo dominio. Questo può rendere il sito irraggiungibile per i visitatori i cui resolver applicano la convalida DNSSEC. Dopo averlo attivato, verifica sempre la configurazione con uno strumento di convalida DNSSEC, e tieni sincronizzate le chiavi se cambi fornitore DNS. Con il creatore di siti di WEMASY puoi configurarlo direttamente dal tuo sito.
DNSSEC rallenta il mio sito?
L'impatto sulla velocità è minimo. DNSSEC aggiunge una piccola quantità di dati extra alle risposte DNS a causa delle firme, e i resolver eseguono un passaggio di verifica in più. In pratica questo aggiunge solo pochi millisecondi alla ricerca DNS. I visitatori non noteranno alcuna differenza nel tempo di caricamento delle pagine.
Tutti i registrar supportano DNSSEC?
Non tutti. La maggior parte dei registrar principali supporta DNSSEC, ma alcuni registrar più piccoli o economici non lo offrono ancora. Prima di provare ad attivare DNSSEC, controlla la documentazione o la pagina di assistenza del registrar per confermare che ti permettano di aggiungere record DS. Se non lo permettono, potresti dover trasferire il dominio a un registrar che lo fa.
Che cosa succede a DNSSEC se cambio fornitore DNS?
Se cambi fornitore DNS, devi aggiornare la configurazione DNSSEC. Il nuovo fornitore genererà nuove chiavi e dovrai sostituire il record DS presso il registrar con quello nuovo. Durante la transizione c'è una finestra in cui il vecchio record DS non corrisponde più alle nuove chiavi. Pianifica il passaggio con attenzione. Rimuovi prima il vecchio record DS, aspetta la propagazione, migra il DNS, attiva DNSSEC sul nuovo fornitore e poi aggiungi il nuovo record DS.
DNSSEC è la stessa cosa di DNS over HTTPS?
No. Risolvono problemi diversi. DNSSEC verifica che una risposta DNS sia autentica e non sia stata manomessa. DNS over HTTPS (DoH) cifra la richiesta DNS stessa, così nessuno che monitori la tua rete può vedere quali domini cerchi. DNSSEC protegge l'integrità. DoH protegge la riservatezza. Possono essere usati insieme, ma l'uno non sostituisce l'altro.