Pengujian validasi DNSSEC

Apa yang dijelaskan pengujian ini

DNS Security Extensions, atau DNSSEC, memungkinkan resolver memvalidasi data DNS bertanda tangan. Pengujian ini memeriksa penolakan terhadap tanda tangan yang sengaja tidak valid. Yang dinilai adalah keaslian dan keutuhan jawaban DNS, bukan kerahasiaan permintaan atau resolver yang otomatis dipakai browser sehari-hari.

Cara menjalankan pengujian

1. Masukkan alamat resolver yang ingin diuji. Pertahankan port DNS yang sama ketika membandingkan hasil awal dan berikutnya.
2. Jalankan pemeriksaan domain bertanda tangan valid dan domain yang tanda tangannya sengaja tidak valid.
3. Bandingkan domain tidak valid saat pemeriksaan aktif dan dinonaktifkan, bersama domain valid sebagai kontrol. Ketiga hasil perlu dibaca bersama.

Cara pengukuran bekerja

Server kami mengirim permintaan DNS langsung ke resolver terpilih melalui UDP, dengan peralihan ke TCP bila perlu. Server meminta data DNSSEC dan mengulang kasus tidak valid dengan bit Checking Disabled.

Permintaan berasal dari jaringan server, menghubungi resolver dan infrastruktur DNS domain kontrol. Pengujian tidak otomatis menemukan layanan DNS-over-HTTPS yang digunakan browser Anda.

Memahami hasil

Validasi terkonfirmasi

Kontrol valid memberi data, domain tidak valid gagal saat pemeriksaan aktif, lalu memberi data saat pemeriksaan dinonaktifkan. Kombinasi ini mendukung adanya validasi tanda tangan.

Validasi tidak terlihat

Resolver memberikan data untuk tanda tangan sengaja tidak valid ketika pemeriksaan aktif. Dalam pengujian ini jawaban yang salah tersebut tidak ditolak.

Tidak dapat disimpulkan

Batas waktu, penolakan, kontrol valid yang gagal, atau jawaban tidak konsisten mencegah kesimpulan andal. Kegagalan saja tidak membuktikan validasi.

Bandingkan sebelum dan sesudah

1. Simpan resolver, port, hasil kontrol, dan rincian jawaban sebagai pengukuran awal.
2. Ubah satu pengaturan resolver atau validasi, lalu ulangi kontrol yang sama dari alat ini.
3. Bandingkan tiga hasil sekaligus. Jika DNS perangkat diubah, pastikan resolver yang diuji memang resolver yang hendak dinilai.

Batas pengujian

• Pembatasan jaringan antara server dan resolver dapat memengaruhi hasil.
• Penanda authenticated data memberi konteks, tetapi perbandingan terkontrol antara tanda tangan valid dan tidak valid merupakan bukti utama.

Apa yang perlu diubah

Tanda tangan tidak valid diterima

Jika mengelola resolver, tinjau pengaturan validasi. Jika tidak, pertimbangkan resolver dengan validasi yang terdokumentasi dan uji ulang.

Kontrol valid juga gagal

Periksa keterjangkauan resolver serta akses port DNS sebelum mengaitkan kegagalan dengan DNSSEC.

Pertanyaan umum

Sumber dan referensi teknis

• RFC 4033 · DNSSEC