Guida e risoluzione dei problemi
Record DS
Di cosa si tratta
Il record DS (Delegation Signer) risiede nella zona genitore (ad es. .com) e contiene un hash della Key Signing Key della tua zona. È ciò che collega le tue chiavi DNSSEC alla catena di fiducia globale ed è gestito tramite il tuo registrar.
Come leggere il risultato
Se la tua zona è firmata, dovrebbe esistere un DS e il suo key tag dovrebbe corrispondere alla tua attuale KSK. Un DS senza DNSKEY corrispondente, o un DNSKEY senza DS, sono i due mezzi-stati rotti su cui vale la pena intervenire.
Problemi comuni e come risolverli
Record DS obsoleto dopo aver cambiato provider DNS
Come si manifesta: Il dominio risolve per alcuni utenti e dà SERVFAIL per altri; i guasti sono iniziati subito dopo un cambio di nameserver.
Come risolverlo: Accedi al registrar ed elimina il vecchio record DS (o sostituiscilo con uno che corrisponda alle chiavi del nuovo provider, se il nuovo provider firma la zona). Questa è la singola interruzione DNSSEC più comune.
La zona è firmata ma non è mai stato pubblicato alcun DS
Come si manifesta: Il DNSSEC non offre alcuna protezione: i resolver che validano trattano la zona come non firmata, sebbene nulla sia rotto.
Come risolverlo: Ottieni i dati DS (key tag, algoritmo, digest) dal tuo provider DNS e inseriscili presso il tuo registrar. Molti pannelli dei registrar hanno una sezione DNSSEC dedicata a questo.
Il DS usa un digest deprecato (SHA-1)
Come si manifesta: Alcuni validatori avvertono o rifiutano; gli audit di sicurezza lo segnalano.
Come risolverlo: Pubblica un nuovo DS usando il tipo di digest 2 (SHA-256) e rimuovi quello SHA-1.