فاحص DNSSEC

ما هو DNSSEC؟

يضيف DNSSEC ‏(RFC 4033–4035) تواقيع إلى سجلات DNS ليتمكن المحلّل المتحقِّق من إثبات أن الإجابة جاءت من المنطقة دون تعديل. تنتقل الثقة على هيئة سلسلة: يشهد مفتاح منطقة الجذر لكل نطاق علوي عبر سجل DS، والنطاق العلوي لكل نطاق تحته، وهكذا. والمنطقة التي لا يوجد لها DS عند الأم غير آمنة (غير موقَّعة)، أما التي لا تصحّ سلسلتها فمعطوبة (bogus) وتتوقف عن العمل لدى المحلّلات المتحقِّقة.

ملاحظة أمنية: سلسلة DNSSEC المعطوبة (bogus) تُخرج النطاق كله من الخدمة لمستخدمي المحلّلات المتحقِّقة؛ فلا تغيّر المفاتيح أو مزوّد DNS إلا بعملية تبديل مخطَّط لها.

كيفية استخدام فاحص DNSSEC

1. اكتب النطاق أو اسم المضيف، مثل example.com أو www.example.com.
2. اضغط «فحص DNSSEC». يتتبّع خادم متقن السلسلة بمحلّل Cloudflare المتحقِّق.
3. اقرأ النتيجة وعلَم AD، ثم راجع جدول السلسلة من الجذر نزولاً: أول حلقة غير آمنة هي الموضع الذي تتوقف عنده الحماية أو تنكسر.
4. اتبع الخطوة التالية: انشر سجل DS لدى المسجِّل، أو أصلح السلسلة المعطوبة، أو خطّط لتبديل المفاتيح.

مزايا فاحص DNSSEC

• سلسلة الثقة من منطقة الجذر عبر النطاق العلوي حتى النطاق، بصف لكل منطقة
• سجلات DS عند كل منطقة أم ومجموعة DNSKEY في كل منطقة، مع وسوم المفاتيح والخوارزميات وأدوار KSK وZSK
• وصف كل حلقة بأنها secure أو insecure أو bogus أو unknown مع السبب بلغة واضحة
• التمييز بين النطاق المعطوب وغير الموقَّع وبين عطل خوادم الأسماء، بسؤال المحلّل مع التحقق ومن دونه
• علَم AD الذي يضعه المحلّل للاسم نفسه — وهي الإجابة التي يحصل عليها مستخدموك من محلّل متحقِّق
• التنبيه إلى خوارزميات التوقيع التي يصنّفها RFC 8624 في التوقيع MUST NOT أو NOT RECOMMENDED ‏(RSA/SHA-1 وRSA/SHA-512 وDSA وGOST)، وإلى تجزئة SHA-1 في سجلات DS، والمفاتيح التي تحمل علَم الإلغاء REVOKE
• الاستعلام الفاشل يُعرض على أنه مجهول لذلك المستوى، ولا يُعدّ أبداً موقَّعاً أو غير موقَّع

المدخلات والمخرجات

المدخلات

• اسم النطاق — نطاق أو اسم مضيف، يُكتب اسماً أو رابطاً، وتُقبل أسماء النطاقات الدولية. وتُرفض عناوين IP لأن DNSSEC يحمي الأسماء.
• ما تثبّته الأداة — المحلّل (Cloudflare 1.1.1.1)، والاستعلامات (A للاسم، وDS وDNSKEY لكل منطقة، وDNSKEY للجذر)، وأعلام DNSSEC (DO مفعّل، وCD مفعّل ومعطّل)؛ فلا شيء آخر تحتاج إلى ضبطه.

المخرجات

• الملخص — النتيجة، وهل وُثّقت الإجابة (علَم AD)، وعدد المناطق في السلسلة، واستعلامات DNS المُجراة.
• سلسلة الثقة — صف لكل منطقة بدءاً من الجذر: الحالة، وسجلات DS عند الأم (وسم المفتاح والخوارزمية ونوع التجزئة)، وسجلات DNSKEY (الدور ووسم المفتاح والخوارزمية)، وهل أُعيدت تواقيع، وملاحظة.
• الاكتشافات — ما تبيّنه إجابات المحلّل، والخوارزميات وأنواع التجزئة المتقادمة، والمفاتيح قيد الإلغاء، والمستويات التي تعذّر فحصها.
• ما الخطوة التالية — الخطوة التي تترتب على النتيجة.

مثال على فاحص DNSSEC

cloudflare.com

النتيجة: موقَّع وتم التحقق منه (وثّق المحلّل الإجابة) · موثَّقة (علَم AD): نعم · المناطق في السلسلة: 3 · استعلامات DNS: ‏7
سلسلة الثقة:
منطقة الجذر (.) — آمنة: مرساة الثقة — مفاتيح منطقة الجذر (مرساة الثقة).
com — آمنة: موقَّعة ومرتبطة بالأم — DS 19718 · ECDSAP256SHA256 · SHA-256 — DNSKEY …, KSK 19718 (ECDSAP256SHA256)
cloudflare.com — آمنة: موقَّعة ومرتبطة بالأم — DS 2371 · ECDSAP256SHA256 · SHA-256 — DNSKEY ZSK 34505 (ECDSAP256SHA256), KSK 2371 (ECDSAP256SHA256)
الاكتشافات: تحقّق المحلّل من الإجابة عن هذا الاسم (علَم AD مضبوط) — cloudflare.com

كيف تقرأ نتائج فاحص DNSSEC

«موقَّع وتم التحقق منه»: كل حلقة من الجذر آمنة ووضع المحلّل علَم AD، فيحصل مستخدمو المحلّلات المتحقِّقة على إجابات موثَّقة لهذا الاسم.

«غير موقَّع (insecure)»: في موضع ما من السلسلة لا يوجد سجل DS — غالباً عند النطاق نفسه. فتُقبل الإجابات دون توثيق، وهذه حال أغلب النطاقات وليست خطأً.

«مناطق موقَّعة وإجابة غير موثَّقة»: كل منطقة معروضة موقَّعة ومرتبطة، لكن المحلّل لم يوثّق الإجابة عن الاسم نفسه — والسبب غالباً أن الاسم CNAME يشير إلى منطقة بلا DNSSEC. فتصل تلك الإجابة إلى المستخدمين دون توثيق.

«معطوب (bogus)»: يوجد سجل DS لكن المفاتيح أو التواقيع تحته لا تصح. فتجيب المحلّلات المتحقِّقة — 1.1.1.1 و8.8.8.8 و9.9.9.9 وكثير من محلّلات مزوّدي الإنترنت — بـ SERVFAIL، ويتوقف الاسم عن العمل لمستخدميها.

«الاستعلام يفشل»: يفشل الاسم مع التحقق ومن دونه على السواء، وهذا يشير إلى خوادم الأسماء لا إلى DNSSEC.

«DNSKEY منشور ولا يوجد DS عند الأم»: المنطقة موقَّعة، لكن لا أحد يستطيع التحقق من تواقيعها حتى يُنشر سجل DS لدى المسجِّل.

متى تستخدم فاحص DNSSEC

• التأكد من أن DNSSEC يعمل بعد تفعيل التوقيع ونشر سجل DS لدى المسجِّل.
• تشخيص نطاق توقف فجأة عن العمل عبر 1.1.1.1 أو 8.8.8.8 بينما يعمل في أماكن أخرى.
• فحص النطاق قبل نقله إلى مزوّد DNS أو مسجِّل آخر، حين قد يعطّله سجل DS قديم.
• تدقيق أيّ نطاقاتك موقَّع وبأي الخوارزميات.

استكشاف الأخطاء وإصلاحها

• «معطوب (bogus)» بعد تغيير مزوّد DNS مباشرة: ما زال المسجِّل يحتفظ بسجل DS لمفتاح المزوّد القديم. استبدله بسجل DS من المزوّد الجديد، أو احذفه حتى تُوقَّع المنطقة الجديدة؛ وتتعافى المحلّلات حين ينتهي DS القديم من ذاكرتها المؤقتة.
• «DNSKEY منشور ولا يوجد DS عند الأم»: انسخ سجل DS (أو DNSKEY إن طلبه المسجِّل) من مزوّد DNS إلى إعدادات DNSSEC لدى المسجِّل.
• «لا يطابق أي DNSKEY وسم المفتاح وخوارزميته في DS»: سجل DS لدى المسجِّل يخص مفتاحاً قديماً أو مختلفاً. انشر DS لمفتاح KSK الحالي.
• النتيجة «تعذّر التحديد»: فشل استعلام لأحد المستويات أو انتهت مهلته. أعد الفحص، والمستوى الذي يتكرر فشله فيه خوادم أسماء لا تجيب عن استعلامات DNSSEC كما ينبغي.
• رسالة حدّ الطلبات: يكلّف فحص DNSSEC من 7 إلى 11 استعلام DNS من حصة مشتركة مع أدوات DNS الأخرى؛ انتظر الثواني المعروضة.

الأسئلة الشائعة حول فاحص DNSSEC

ملاحظات تقنية

يوقّع DNSSEC ‏(RFC 4033 و4034 و4035) كل مجموعة سجلات في المنطقة بسجلات RRSIG تُنشئها مفاتيح المنطقة المنشورة في سجلات DNSKEY: عادةً مفتاح توقيع المفاتيح (KSK، العلَم 257) الذي يوقّع مجموعة المفاتيح، ومفتاح توقيع المنطقة (ZSK، العلَم 256) الذي يوقّع الباقي. وتشهد المنطقة الأم للابنة بسجل DS، وهو بصمة مفتاح KSK الخاص بها؛ ومفاتيح منطقة الجذر هي مرساة الثقة التي تبدأ منها المحلّلات المتحقِّقة، فتنتقل الثقة: الجذر ← النطاق العلوي ← النطاق.

يسأل الفاحص محلّل Cloudflare المتحقِّق عن الاسم مع طلب DNSSEC، وعلَم AD يعني أن المحلّل تحقّق من الإجابة. ثم يجلب سجلات DS وDNSKEY للجذر والنطاق العلوي وكل مستوى حتى الاسم (أربعة مستويات مناطق على الأكثر)، ويتأكد أن مفتاحاً يطابق وسم المفتاح وخوارزميته في DS. ويميّز استعلام ثانٍ مع تعطيل التحقق (بت CD، ‏RFC 6840) بين المنطقة المعطوبة التي تفشل مع التحقق فقط، وعطل خوادم الأسماء الذي يفشل في الحالتين، والمنطقة غير الموقَّعة التي تجيب بالطريقة نفسها في الحالتين دون AD.

المحلّل هو الذي يتحقق من التواقيع لا الأداة؛ فالصفحة تنقل حكمه والسجلات التي يستند إليها. وتُستبعد المستويات التي ليست مناطق مستقلة مع ملاحظة، وفي الأسماء الأعمق من أربعة مستويات تُتخطّى الوسطى وتُعدّ.

الحدود ومنهجية القياس

التحقق من عمل Cloudflare: تنقل الأداة علَم AD وسلوك SERVFAIL لدى المحلّل ولا تتحقق من التواقيع بنفسها، وقد يخالفه محلّل آخر لفترة قصيرة إن كانت ذاكرته المؤقتة قديمة.

لا يُفحص أكثر من أربعة مستويات مناطق؛ ففي الأسماء الأعمق تُتخطّى المستويات الوسطى، ولا يظهر عطل فيها إلا عبر النتيجة النهائية.

لا يُتحقق إلا من استعلام A للاسم؛ فالتوقيع المعطوب على نوع سجل آخر للاسم نفسه (MX أو TXT…) لا يظهر هنا.

يجري الفحص من خادم متقن على حافة Cloudflare لا من شبكتك، فلا يبيّن هل يتحقق المحلّل لديك من DNSSEC.

الأمان والخصوصية

يصل الاسم الذي تكتبه إلى خادم متقن، الذي يسأل DNS العام لدى Cloudflare عبر HTTPS عن سجلات DS وDNSKEY للاسم وللمناطق التي فوقه. لا يُخزَّن شيء.

المراجع

• RFC 4033: DNS Security Introduction and RequirementsIETF · 2005ما الذي يحميه DNSSEC وما لا يحميه، وسلسلة الثقة انطلاقاً من مرساة ثقة، ومعنى الإجابات الآمنة وغير الآمنة والمعطوبة (bogus).
• RFC 4034: Resource Records for the DNS Security ExtensionsIETF · 2005سجلات DNSKEY وRRSIG وDS وNSEC، وطريقة حساب وسم المفتاح (key tag)، والأعلام التي تميّز مفتاح توقيع المفاتيح.
• RFC 4035: Protocol Modifications for the DNS Security ExtensionsIETF · 2005كيف تطلب المحلّلات التواقيع وتتحقق منها: بت DO، وعلَم AD الذي يميّز الإجابة الموثَّقة، وبت CD الذي يعطّل التحقق.