Zdravo!

Kaj mislite s tem, da težave ne morete poustvariti? A ko vi poskušate, strežnik pravilno odgovori s SERVFAIL na poizvedbo "dig A dnssec-failed.org"? Ukaz, ki ste mi ga poslali (dig @193.2.1.66 com SOA +dnssec), samo pomeni, da resolver pravilno pošilja naprej dnssec zapise. Jaz pa govorim o tem, da vaš resolver sicer pravilno zazna, kdaj je domena podpisana z DNSSEC in to označi z ad zastavico, vendar nepravilno odreagira, ko preverjanje ne uspe (torej ob napadu na DNS) -- strežnik bi moral odgovoriti s SERVFAIL, vendar v tem primeru odgovori z NOERROR in pošlje odgovor, četudi je bil prejet odgovor od avtoritativnega strežnika z napačnim podpisom.

dnssec-failed.org je testna stran, ki ima namenoma pokvarnen DNSSEC -- zapisi so narobe podpisani, kot bi bilo, če bi napadalec potvarjal zapise v domeni, zaščiteni z DNSSEC. Več na: https://www.internetsociety.org/resources/deploy360/2013/dnssec-test-sites/

Namen DNSSEC je, da resolverji zaznajo te napake in ne posredujejo naprej odjemalcem napačno podpisanih odgovorov avtoritativnih strežnikov.

Vaš resolver pa očitno napake v preverjanju ignorira in domeno tretira, kot da sploh ne bi bila zaščitena z DNSSEC. Ampak dnssec-failed.org je zaščitena z DNSSEC, vendar namenoma pošilja napačne podpise (za testiranje resolverjev).

Če torej uporabljate resolver 193.2.1.66 / .72, se vam odpre spletna stran na naslovu http://dnssec-failed.org, kar se ne bi smelo zgoditi.

Če uporabljate bind9 strežnik za resolver, so tule navodila, kako pravilno vklopiti validacijo:

https://bind9.readthedocs.io/en/stable/dnssec-guide.html#dnssec-validation

in tule piše, kako preveriti, ali validacija res pravilno deluje (to besedilo pride v poštev ne glede na to, kateri program uporabljate za resolver):

https://bind9.readthedocs.io/en/stable/dnssec-guide.html#how-to-test-recursive-server

Upam, da sem se uspešno izrazil. Zna se zgoditi, da imam povsem narobe, v tem primeru mi prosim oprostite. Če imate še kakšna vprašanja, pripombe, mi, prosim, pišite.

Lepo vas pozdravljam
Anton Luka Šijanec