El DNS se diseñó para confiar en la primera respuesta que llegue. DNSSEC añade firmas a los registros DNS, de modo que los resolvedores pueden comprobar que una respuesta realmente vino del dueño del dominio y que no fue alterada por el camino. Los registradores y los paneles de hosting hacen ahora que una configuración de DNSSEC parezca un simple interruptor, y para los dominios alojados con un gran proveedor de DNS a menudo lo es. Cuando su empresa opera su propio servidor DNS autoritativo, o traslada dominios entre proveedores, unos cuantos detalles deciden si DNSSEC lo protege o deja su dominio fuera de línea. Esta guía explica esos detalles en términos sencillos.
Qué es DNSSEC y qué no hace
¿Qué es DNSSEC en la práctica? Los registros de una zona se firman con una clave privada, y la clave pública correspondiente se publica en la propia zona. Una huella de esa clave, el registro DS, se ubica en la zona superior, por ejemplo .com, y llega allí a través de su registrador. Los resolvedores que validan siguen esta cadena de confianza desde la raíz hacia abajo y rechazan las respuestas cuyas firmas no coinciden. Eso protege contra el envenenamiento de caché y las respuestas falsificadas que podrían enviar a los visitantes o al correo al servidor equivocado.
DNSSEC no cifra el tráfico DNS, no oculta qué nombres se consultan y no reemplaza a HTTPS. Tampoco puede ayudar si alguien accede a su cuenta del registrador o de DNS, así que las contraseñas seguras y la autenticación de dos factores allí importan más que cualquier protocolo.
Cómo funciona paso a paso una configuración de DNSSEC
- Firme la zona en el servidor autoritativo, que crea las claves y las firmas.
- Compruebe que las respuestas firmadas provienen de cada servidor de nombres del dominio, incluidos los secundarios.
- Publique el registro DS en el registrador. Hasta este paso nada se valida, así que los errores en los dos primeros pasos son inofensivos.
- Verifique la cadena con dig +dnssec o delv contra un resolvedor que valide, o con un analizador de DNSSEC en línea.
- Monitoree el vencimiento de las firmas y los cambios de clave a partir de entonces.
El orden importa. Publicar un registro DS para una zona que no está correctamente firmada en todos los servidores de nombres hace que los resolvedores que validan rechacen el dominio por completo.
dnssec-policy de BIND y DNSSEC en PowerDNS
En las versiones actuales de BIND 9, la firma se rige por una política. Añadir una instrucción dnssec-policy de BIND a la zona, y la política predeterminada integrada es un buen comienzo, hace que BIND cree las claves, firme la zona y la vuelva a firmar automáticamente. La política predeterminada usa una sola clave de firma combinada con el algoritmo ECDSA P-256, el algoritmo 13, que mantiene pequeñas las respuestas. La guía de DNSSEC de BIND cubre los detalles, incluido cómo BIND puede consultar la zona superior para ver el registro DS antes de continuar con un cambio de clave. Como con cualquier cambio de configuración de BIND, ejecute las comprobaciones de configuración antes de recargar. La firma de zonas en servidores BIND o PowerDNS forma parte de nuestro trabajo de configuración de servidores DNS.
DNSSEC en PowerDNS funciona de otra manera porque las zonas viven en una base de datos. La herramienta pdnsutil protege una zona e imprime los registros DS que se entregan al registrador, y PowerDNS firma las respuestas a medida que las sirve. Los servidores de nombres secundarios requieren atención con cualquiera de los dos productos. Si un secundario recibe la zona por transferencia de zona, debe servir la versión firmada; un secundario que construye la zona por su cuenta devuelve respuestas sin firmar y rompe la validación para parte de sus visitantes.
Qué causa una falla de validación de DNSSEC
Cuando DNSSEC se rompe, el dominio no se ve lento ni parcialmente mal. Para los usuarios detrás de resolvedores que validan, entre ellos muchos resolvedores públicos grandes y proveedores de internet, simplemente deja de resolverse: sitios web, correo y todo lo demás del dominio. Las causas habituales:
- Firmas vencidas. Las firmas tienen fecha de vencimiento. Si la firma se detiene, por ejemplo porque se reconstruyó un servidor sin sus claves, la zona sigue funcionando hasta que las firmas se agotan y entonces falla de golpe.
- Un cambio de claves de DNSSEC hecho en desorden. Reemplazar la clave de firma de claves implica publicar el nuevo registro DS en el momento correcto y eliminar el anterior solo después de que hayan expirado las cachés. La política predeterminada de BIND evita los cambios rutinarios de esa clave, una de las razones por las que conviene a las organizaciones pequeñas.
- Cambiar de proveedor de DNS con DNSSEC activado. El nuevo proveedor firma con otras claves mientras el registrador todavía tiene el registro DS anterior.
- Secundarios que sirven datos sin firmar, como se describió arriba.
Cómo trasladar o desactivar DNSSEC de forma segura
Para trasladar un dominio firmado a otro host de DNS, la vía segura más sencilla es dejarlo primero sin firmar. Elimine el registro DS en el registrador, espere hasta que haya pasado en todas partes el tiempo de vida del registro DS anterior, que en muchos dominios de primer nivel es de aproximadamente un día, y luego traslade el dominio, fírmelo en el nuevo proveedor y publique el nuevo registro DS. Algunos proveedores admiten una transferencia más fluida con ambos juegos de claves vigentes, pero solo si ambas partes cooperan. BIND tiene una política insecure integrada por la misma razón: devuelve una zona a su estado sin firmar en pasos seguros una vez que la zona superior ya no apunta a sus claves.
La misma precaución se aplica a la resolución de nombres de dominio dentro de la red de su oficina. Si su resolvedor local valida DNSSEC, un dominio roto en otra parte también falla para su personal, y desactivar la validación para "arreglarlo" elimina la protección para todos los demás dominios.
Preguntas frecuentes: configuración de DNSSEC
¿Una pequeña empresa necesita DNSSEC?
Vale la pena tenerlo cuando su proveedor de DNS y su registrador lo manejan automáticamente. Si opera sus propios servidores de nombres, actívelo una vez que haya monitoreo y un procedimiento escrito para los traslados entre proveedores, porque un error afecta a todo el dominio.
¿Dónde obtengo el registro DS?
Del servidor DNS o proveedor que firma la zona. Luego lo ingresa en el registrador, que lo transmite a la zona superior. Si el host de DNS y el registrador son la misma empresa, esto suele ocurrir automáticamente.
¿DNSSEC hace más lento mi sitio web?
No de forma notable. Las respuestas son algo más grandes y los resolvedores trabajan un poco más, pero las respuestas se almacenan en caché como cualquier otro dato DNS, y las claves modernas de curva elíptica mantienen pequeña la sobrecarga.
¿Planea firmar sus dominios o trasladar dominios firmados entre hosts de DNS? Nuestro servicio de configuración y administración de servidores DNS cubre servidores BIND y PowerDNS, secundarios, registros MX, SPF, DKIM y DMARC, y DNSSEC para empresas en Los Ángeles y más allá. Para firewalls y acceso remoto, consulte nuestro servicio de configuración de red, VPN y seguridad. Contáctenos con una lista de sus dominios y de dónde está alojado hoy su DNS.
