O que este teste permite saber
As extensões de segurança DNS, ou DNSSEC, permitem validar dados DNS assinados. Este teste verifica se o resolvedor escolhido rejeita uma assinatura deliberadamente inválida. Trata autenticidade e integridade das respostas; não cifra as consultas nem identifica o resolvedor que o seu navegador costuma usar.
Como realizar o teste
- Introduza o resolvedor pretendido e mantenha a porta DNS constante entre comparações.
- Execute os controles de domínio assinado válido e domínio deliberadamente inválido.
- Compare o caso inválido com verificação ativa e desativada, juntamente com o controle válido.
Como funciona a medição
O nosso servidor envia consultas DNS nativas por UDP, recorrendo a TCP quando necessário. Pede dados DNSSEC e repete o caso inválido com o bit Checking Disabled.
Os pedidos partem da rede do servidor e contatam o resolvedor e a infraestrutura dos domínios de controle. O teste não descobre automaticamente o serviço DNS sobre HTTPS do navegador.
Interpretar os resultados
- Validação confirmada
- O controle válido devolve dados, o inválido falha com verificação e responde sem ela. Em conjunto, os resultados sustentam validação da assinatura.
- Validação ausente
- O resolvedor devolve dados com assinatura deliberadamente inválida enquanto a verificação está ativa. Não rejeitou essa resposta neste teste.
- Indeterminado
- Tempos excedidos, recusas, controle válido falhado ou respostas incoerentes impedem uma conclusão. Uma falha isolada não demonstra validação.
Comparar antes e depois
- Guarde resolvedor, porta, resultados dos controles e detalhes de resposta.
- Altere uma configuração de resolvedor ou validação e repita os mesmos controles.
- Compare os três resultados. Se alterar o DNS do dispositivo, confirme que consulta aqui o resolvedor que pretendia avaliar.
O que este teste não permite concluir
- Restrições de rede entre servidor e resolvedor podem afetar os resultados.
- O indicador de dados autenticados acrescenta contexto; os controles válido e inválido são o indício principal.
O que alterar, se necessário
- São aceites assinaturas inválidas
- Se administrar o resolvedor, reveja a validação; caso contrário, considere um resolvedor validador documentado e repita.
- O controle válido também falha
- Verifique acessibilidade do resolvedor e porta DNS antes de atribuir a falha ao DNSSEC.
Perguntas úteis
DNSSEC esconde as consultas?
Não. Verifica respostas assinadas. Transportes DNS cifrados protegem outra parte da conexão.
Um resultado positivo cobre o navegador?
Só se este usar o resolvedor testado. Configurações de DNS seguro podem escolher outro serviço.