Verifica della validazione DNSSEC

Interroga più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record DNSKEY di un dominio e verifica che la catena di firme DNSSEC sia validata correttamente.

Consigli per l'uso

  • Il contrassegno di dati autenticati compare soltanto se il risolutore interrogato ha eseguito la validazione DNSSEC: con un risolutore che non la supporta il giudizio non è attendibile.
  • La mancata adozione di DNSSEC non è un'anomalia: moltissimi domini non lo usano e questo non incide direttamente sul posizionamento nei motori di ricerca né sulla recapitabilità della posta.
  • Se la validazione risulta fallita, verificate per prima cosa che l'identificativo della chiave e l'impronta del record DS registrato presso il registrar corrispondano ai DNSKEY attuali.
  • Le firme DNSSEC hanno una scadenza: controllate anche che la rifirma automatica della zona non si sia interrotta.
  • Subito dopo l'attivazione di DNSSEC, finché la registrazione del record DS presso la zona superiore non si è propagata, la validazione può risultare temporaneamente fallita.

Domande frequenti

La mancata adozione non è di per sé pericolosa: ancora oggi la grande maggioranza dei domini opera senza DNSSEC. Come difesa contro l'avvelenamento della cache, però, vale la pena valutarne l'adozione.

Gli utenti che usano risolutori con validazione DNSSEC, come molte reti aziendali e alcuni operatori, potrebbero non riuscire più a risolvere quel dominio, ricevendo un errore di servizio. Salvo il caso di un'attivazione recente in attesa di propagazione, la correzione è urgente.

Quando i risolutori mantengono contemporaneamente cache diverse, subito dopo la sostituzione di una chiave possono coesistere temporaneamente la vecchia e la nuova, con esiti di validazione differenti. Attendete un poco e ripetete la verifica.

No. DNSSEC garantisce che la risposta alla risoluzione di un nome non sia stata alterata, mentre SSL/TLS garantisce che il contenuto della comunicazione sia cifrato e che l'interlocutore sia il titolare del certificato. Sono indipendenti e si può adottarne uno soltanto.

Lo strumento verifica soltanto due aspetti superficiali: la pubblicazione dei DNSKEY e il giudizio di validazione dei risolutori. Se vi serve un'analisi rigorosa della catena di firme, affiancate strumenti specialistici come dnsviz.net.
Tool-kun

A proposito — come si è aggiunta al DNS una difesa contro la contraffazione

Il sistema dei nomi di dominio, progettato nel 1983, non prevedeva alcun modo per verificare crittograficamente l'origine di una risposta. Il risolutore accettava per buono qualunque pacchetto UDP tornasse con un identificativo plausibile: falsificando l'indirizzo del mittente o indovinando i parametri era quindi possibile iniettare risposte false. L'attacco individuato nel 2008 dal ricercatore Dan Kaminsky dimostrò che, sfruttando quella debolezza, si poteva avvelenare la cache di un risolutore con record falsi a una velocità concretamente utilizzabile, e la cosa scosse profondamente il settore.

DNSSEC è l'estensione standardizzata in risposta a quel problema: usando la crittografia a chiave pubblica dimostra che una risposta è stata firmata dal legittimo gestore della zona. Le risposte sono firmate con le chiavi pubblicate nei record DNSKEY del dominio e il record DS registrato presso la zona superiore ne garantisce l'impronta, costruendo una catena di fiducia dalla radice fino al singolo dominio.

Il contrassegno di dati autenticati presente nelle risposte del protocollo DNS su HTTPS è il risultato di quella validazione eseguita dal risolutore. Anche senza implementare la verifica delle firme, un browser o un'applicazione che interroghi un risolutore affidabile e riceva quel contrassegno può accertare indirettamente che la risposta non è stata alterata; ciò presuppone però che il collegamento fra applicazione e risolutore sia a sua volta protetto.

Leggi le curiosità collegate

Vedi tutte le curiosità

Chi consulta questo strumento guarda anche

Convalida degli indirizzi di posta elettronica

Uno strumento gratuito che verifica all'istante il formato di un indirizzo di posta elettronica, con un'approssimazione pratica della norma RFC 5322, e controlla anche se il dominio possa effettivamente ricevere messaggi...

Verifica dei record SPF, DKIM e DMARC

Basta inserire un dominio per cercare in tempo reale i suoi record SPF, DMARC e DKIM e valutare lo stato delle difese contro la contraffazione dei messaggi di posta.

Guida alla configurazione dei record DNS

Un riferimento che raccoglie tipi, scopi, esempi di sintassi e avvertenze dei record del sistema dei nomi necessari al recapito della posta e alla gestione di un sito: A, MX, TXT, SPF, DKIM, DMARC e gli altri.

Verifica della propagazione DNS

Interroga contemporaneamente più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record di un dominio e confronta i risultati, mostrando se una modifica ai server dei nomi si è già propagata nel mondo.

Verifica della politica MTA-STS

Legge il record TXT _mta-sts di un dominio e il relativo file di politica e verifica che l'imposizione della cifratura TLS nel trasferimento della posta sia configurata correttamente.

Verifica dei record DANE/TLSA

Interroga più risolutori DNS pubblici per i record TLSA pubblicati dai server di posta di un dominio e verifica se sia configurata la validazione dei certificati tramite DANE.