מה הבדיקה הזאת מגלה
DNS Security Extensions, או DNSSEC, מאפשרים למפענחים לאמת נתוני DNS חתומים. הבדיקה בודקת אם המפענח שנבחר דוחה חתימה לא תקינה במכוון. הדבר נוגע לאותנטיות ולשלמות של תשובות DNS; הוא אינו מצפין שאילתות או קובע באיזה מפענח הדפדפן משתמש בדרך כלל.
איך לבצע את הבדיקה
- הזינו את כתובת המפענח שברצונכם לבדוק והשאירו את יציאת ה-DNS שנבחרה ללא שינוי בין ההשוואות.
- הריצו את הבדיקות לשם המתחם החתום והתקין ולשם המתחם שאינו תקין במכוון.
- השוו את שם המתחם הלא תקין כשהבדיקה מופעלת וכשהיא מושבתת, לצד בדיקת הבקרה של שם המתחם התקין.
איך המדידה פועלת
השרת שלנו שולח שאילתות DNS מקוריות למפענח שנבחר, באמצעות UDP ונסיגה ל-TCP כשצריך. הוא מבקש רשומות DNSSEC וחוזר על המקרה הלא תקין עם סיבית Checking Disabled.
בקשות אלה יוצאות מרשת השרת. מתבצעת פנייה למפענח שנבחר ולתשתית ה-DNS של שמות מתחם לבקרה; הבדיקה אינה מגלה אוטומטית את ספק ה-DNS-over-HTTPS של הדפדפן שלכם.
הבנת התוצאות
- האימות אושר
- בדיקת הבקרה התקינה מחזירה נתונים, שם המתחם הלא תקין נכשל כשהבדיקה מופעלת ונתוניו חוזרים כשהבדיקה מושבתת. יחד אלה תומכים באימות חתימות.
- אין אימות
- המפענח מחזיר נתונים עבור החתימה הלא תקינה במכוון כשהבדיקה מופעלת. בבדיקה זו הוא לא דחה את התשובה הלא תקינה.
- לא חד-משמעי
- חריגות זמן, סירוב, כישלון של בדיקת הבקרה התקינה או תשובות לא עקביות מונעים מסקנה אמינה. כישלון לבדו אינו מוכיח אימות.
השוואה לפני ואחרי
- שמרו את המפענח, היציאה, תוצאות הבקרה ופרטי התשובות כנקודת בסיס.
- שנו הגדרת מפענח או אימות אחת וחזרו על אותן בדיקות בקרה מהכלי הזה.
- השוו יחד את שלוש התוצאות. אם משנים את הגדרות ה-DNS במכשיר, ודאו שהמפענח שנבדק כאן הוא זה שהתכוונתם להעריך.
מגבלות הבדיקה
- מגבלות רשת בין השרת למפענח עשויות להשפיע על התוצאות.
- דגל נתונים מאומתים מוסיף הקשר, אך ההשוואה המבוקרת בין תקין ללא תקין מספקת את הראיה העיקרית.
מה לשנות, אם צריך
- חתימות לא תקינות מתקבלות
- אם המפענח בניהולכם, בדקו את הגדרות האימות; אחרת שקלו מפענח מאמת ומתועד ובדקו שוב.
- גם בדיקת הבקרה התקינה נכשלת
- בדקו נגישות למפענח וגישה ליציאת DNS לפני ייחוס הכישלון ל-DNSSEC.
שאלות נפוצות
האם DNSSEC מסתיר את שאילתות ה-DNS שלי?
לא. DNSSEC בודק תשובות חתומות. תעבורה מוצפנת של DNS מטפלת בחלק אחר של החיבור.
האם תוצאה חיובית מכסה את ה-DNS של הדפדפן?
רק אם הדפדפן משתמש בפועל במפענח שנבדק. הגדרות DNS מאובטח עשויות לבחור שירות אחר.