Por que verificar DNSSEC?
DNSSEC (DNS Security Extensions) adiciona assinaturas criptográficas às respostas DNS. Sem essas assinaturas, atacantes podem falsificar respostas e sequestrar tráfego. Esse ataque é chamado DNS cache poisoning, e é indetectável pelo usuário final.
Um único registro DS mal configurado quebra toda a cadeia. Quando isso acontece, os resolvedores validantes retornam SERVFAIL. Seu site parece normal na sua rede, mas milhões de usuários não veem nada. Nenhum monitor HTTP, nenhum ping, nenhum uptime check detectará este problema. Somente um teste específico de DNSSEC revela a falha.
Um DS órfão de um key rollover mal feito. Uma assinatura que expirou durante a noite. Essas falhas silenciosas persistem por dias até que alguém execute uma verificação.
Quatro razões para verificar seu DNSSEC agora:
- Segurança: Somente uma cadeia de confiança intacta garante que visitantes alcancem seus servidores, não uma cópia do atacante
- Disponibilidade: Uma cadeia quebrada bloqueia mais de 30% das consultas DNS globais. Google, Cloudflare e Quad9 rejeitam a resposta.
- Conformidade: Instituições financeiras, órgãos governamentais e organizações de saúde já exigem DNSSEC para todos os domínios
- Detecção proativa: Identifique DS órfãos, algoritmos depreciados e assinaturas RRSIG expirando antes que provoquem uma interrupção
Como usar o DNSSEC Checker em 3 passos
Passo 1: Insira seu domínio
Digite o domínio que deseja verificar: cloudflare.com, nic.fr ou qualquer outro. A ferramenta aceita domínios assinados e não assinados. Se DNSSEC não estiver ativo, você saberá imediatamente.
Passo 2: Escolha o modo de análise
- Modo Simples (padrão): Valida a cadeia de confiança completa consultando um servidor autoritativo por zona. Resultado em 1 a 3 segundos.
- Modo Completo: Tudo do modo Simples, mais consistência DNSKEY entre todos os servidores autoritativos e validação RRSIG nos dados (SOA, NS, A, MX). Resultado em 5 a 10 segundos.
Use o modo Completo após um key rollover, uma migração de provedor ou para auditoria de segurança. Na dúvida, comece pelo modo Simples.
Passo 3: Analise o relatório e corrija
O relatório classifica cada resultado por severidade, zona por zona:
- Erros: Cadeia quebrada, assinaturas inválidas, inconsistência entre servidores. Bloqueiam a resolução.
- Avisos: DS órfãos, algoritmos fracos, RRSIG expirando em breve. Requerem atenção.
- Informações: CSK detectada, NS fora de bailiwick, quantidade de DS no parent. Útil saber, sem ação necessária.
O que é a cadeia de confiança (chain of trust) DNSSEC?
A cadeia de confiança DNSSEC funciona como um revezamento de verificações criptográficas em cascata. Cada zona atesta a próxima. Começa na raiz DNS e termina no seu domínio:
Raiz (.)
|-- DS do TLD --> verifica a DNSKEY do TLD (KSK)
|-- A ZSK do TLD assina o DS do seu domínio
|-- DS do seu domínio --> verifica sua DNSKEY (KSK)
|-- Sua KSK assina o DNSKEY RRSet
|-- Sua ZSK assina os dados (A, MX, SOA, NS)
Os registros-chave:
| Registro | Função | Onde é publicado |
|---|---|---|
| DS (Delegation Signer) | Hash de uma DNSKEY filha, cria o vínculo entre zonas | Zona parent |
| DNSKEY | Chave pública da zona (KSK = flags 257, ZSK = flags 256) | Zona filha |
| RRSIG | Assinatura criptográfica de um conjunto de registros | Zona filha |
| NSEC/NSEC3 | Prova autenticada de inexistência de um registro | Zona filha |
Cada elo depende do anterior. Um único elo quebrado e toda a cadeia desmorona. Os resolvedores retornam SERVFAIL para todo o domínio, não apenas para a zona quebrada.
O que exatamente esta ferramenta verifica?
Modo Simples
| Elemento | Descrição | Resultado |
|---|---|---|
| DS Records | Registros DS publicados no parent | Correspondência com DNSKEY, órfãos, digest fraco |
| DNSKEY Records | Chaves públicas da zona (KSK/ZSK) | Presença, algoritmo, associação DS |
| RRSIG no DS | Assinatura do DS RRSet pela ZSK do parent | Validade criptográfica + janela temporal |
| RRSIG no DNSKEY | Assinatura do DNSKEY RRSet pela KSK | Validade criptográfica + janela temporal |
| Algoritmos | Tipo de algoritmo de assinatura | Detecção de algoritmos depreciados (RFC 8624) |
| Digests DS | Tipo de hash do DS | Detecção de SHA-1 depreciado |
Modo Completo (adicional)
| Elemento | Descrição | Resultado |
|---|---|---|
| Consistência DNSKEY | Compara as DNSKEY em todos os servidores autoritativos | Detecção de inconsistências entre servidores |
| RRSIG no SOA | Assinatura do registro SOA | Validade + prazo até expiração |
| RRSIG no NS | Assinatura dos registros NS | Validade + prazo até expiração |
| RRSIG no A/MX | Assinaturas dos registros A e MX | Validade + prazo até expiração |
| Expiração RRSIG | Prazo até expiração de cada assinatura | Alerta se expiração em menos de 7 dias |
Diagnósticos comuns e soluções
DS órfão (DNSSEC_DS_ORPHAN)
Sintoma: DS publicado no parent sem DNSKEY correspondente na sua zona.
Causa provável: Key rollover incompleto. A chave antiga foi removida antes da atualização do DS no registrador.
Ação: Remova o DS órfão pelo painel do registrador. Ou re-adicione a DNSKEY correspondente na zona. Execute o checker para confirmar a cadeia.
Algoritmo fraco (DNSSEC_WEAK_ALGO)
Sintoma: Sua zona utiliza um algoritmo de assinatura considerado inseguro pela RFC 8624.
Algoritmos afetados: RSAMD5 (1), DSA (3), DSA-NSEC3-SHA1 (6) são proibidos. RSASHA1-NSEC3-SHA1 (7) é desaconselhado.
Ação: Migre para ECDSAP256SHA256 (13) ou ED25519 (15). Ambos são mais seguros e produzem assinaturas 4x menores que RSA-2048.
Digest SHA-1 (DNSSEC_WEAK_DIGEST)
Sintoma: Seu DS usa SHA-1 (tipo 1) como tipo de digest.
Ação: Adicione um DS com SHA-256 (tipo 2) junto ao SHA-1 existente. Aguarde 48 horas de propagação. Só então remova o DS SHA-1. Remover antes quebra a cadeia.
SERVFAIL após ativação de DNSSEC
Sintoma: Seu domínio retorna SERVFAIL para os resolvedores validantes após ativar DNSSEC.
Causas frequentes:
- DS no registrador não corresponde à DNSKEY da sua zona
- Assinaturas RRSIG não geradas ou expiradas
- Servidores autoritativos não servindo os registros DNSKEY
Ação: Execute o teste em modo Completo. A ferramenta identifica exatamente qual elo está quebrado. Comece verificando se o DS no registrador corresponde à KSK: mesmo key tag e algoritmo.
Inconsistência DNSKEY entre servidores (DNSSEC_SERVER_INCONSISTENT)
Sintoma: Servidores autoritativos retornam conjuntos DNSKEY diferentes. Detectado apenas em modo Completo.
Causa provável: Transferência de zona entre primário e secundários não concluída. Ou um servidor com dados obsoletos.
Ação: Verifique a replicação entre seus servidores DNS. Force um AXFR/IXFR se necessário. Aguarde alguns minutos e execute o teste novamente.
Verificar DNSSEC com dig (linha de comando)
Para administradores que preferem o terminal, o dig permite verificar DNSSEC manualmente:
# Verificar os registros DS no parent
dig DS captaindns.com +short
# Verificar as DNSKEY da zona
dig DNSKEY captaindns.com +dnssec +short
# Verificar as RRSIG em um registro
dig A captaindns.com +dnssec
# Verificar a cadeia completa com validação
dig captaindns.com +sigchase +trusted-key=./root.keys
Esses comandos exigem experiência DNS e acesso ao terminal. O DNSSEC Checker acima faz o mesmo trabalho automaticamente, com resultados visuais e sem linha de comando.
DNSSEC por provedor DNS
A ativação de DNSSEC depende da cooperação entre seu provedor DNS e seu registrador. Veja como os principais se comparam:
| Provedor | DNSSEC | Ativação | Algoritmo padrão |
|---|---|---|---|
| Cloudflare | Automático | Um clique no dashboard, depois adicionar o DS no registrador | ECDSAP256SHA256 (13) |
| OVH | Suportado | Ativação pelo painel do cliente ou API | Varia conforme a configuração |
| AWS Route 53 | Suportado | Pelo console AWS, criação de KSK e depois DS no registrador | ECDSAP256SHA256 (13) |
| Gandi | Automático | Ativado por padrão se Gandi é registrador + provedor DNS | ECDSAP256SHA256 (13) |
| Infomaniak | Suportado | Ativação pelo painel | ECDSAP256SHA256 (13) |
Após ativar DNSSEC no seu provedor, sempre verifique a cadeia de confiança com o checker acima. O erro nº 1: DS no registrador que não corresponde à DNSKEY gerada pelo provedor.
Boas práticas DNSSEC
Algoritmo de assinatura: Use ECDSAP256SHA256 (13) ou ED25519 (15). ECDSA produz assinaturas 4x menores que RSA-2048. Evite RSA, exceto por exigência de compatibilidade.
Digest DS: Publique com SHA-256 (tipo 2). Adicione SHA-384 (tipo 4) se o registrador suportar. Nunca publique SHA-1 sozinho.
Rotação de chaves: Siga o processo da RFC 7583. Nunca remova o DS antigo antes que o novo tenha propagado completamente. Execute o DNSSEC Checker após cada rollover para confirmar zero DS órfãos.
Monitoramento: Verifique a cadeia após cada modificação DNS. As RRSIG têm validade limitada. Se sua zona não for reassinada antes da expiração, os resolvedores retornam SERVFAIL sem aviso.
Migração de provedor: Antes de migrar, confirme que o novo provedor suporta DNSSEC com o mesmo algoritmo. Durante a transição, ambos os conjuntos de chaves devem coexistir até a propagação completa.
Casos de uso concretos
Ativação de DNSSEC em um novo registrador
Acabou de ativar DNSSEC? Execute o modo Simples imediatamente. Confirme que o DS no parent corresponde à DNSKEY da sua zona. Um único erro significa SERVFAIL para todos os resolvedores validantes.
Rotação de chaves (key rollover)
Após um rollover, verifique a ausência de DS órfãos com o modo Simples. Um DS remanescente não quebra a resolução hoje. Mas sinaliza manutenção incompleta e complica o próximo rollover.
Migração de provedor DNS
Migrando para o Cloudflare, Route 53 ou outro? Execute o modo Completo. Verifique três coisas: DS apontam para as novas DNSKEY, assinaturas válidas em todos os servidores autoritativos e chaves consistentes entre servidores.
Auditoria de segurança
O modo Completo é seu relatório de conformidade DNSSEC. Cobre consistência DNSKEY multi-servidor, validade das assinaturas nos dados (SOA, NS, A, MX) e dias até a expiração de cada RRSIG.
Domínio retornando SERVFAIL
Usuários reportam que seu site está inacessível em certas redes? Essas redes provavelmente usam resolvedores validantes. Execute o teste imediatamente. Se a cadeia estiver quebrada, a ferramenta mostra exatamente onde.
FAQ - Perguntas frequentes
P: O que é DNSSEC e por que ativá-lo?
R: DNSSEC adiciona assinaturas criptográficas às respostas DNS. Sem ele, atacantes podem falsificar respostas e redirecionar tráfego (cache poisoning). Com DNSSEC, os resolvedores verificam que as respostas são autênticas.
P: Como verificar se DNSSEC está ativo no meu domínio?
R: Insira seu domínio na ferramenta acima. Se aparecer "DNSSEC não está ativo", nenhum registro DS existe no registry parent. Entre em contato com seu registrador para ativar.
P: O que é um DS órfão?
R: Um registro DS no parent sem DNSKEY correspondente na zona filha. Resultado típico de um key rollover incompleto. Não bloqueia se outro DS válido existir, mas sinaliza configuração incompleta.
P: Por que meu domínio retorna SERVFAIL após ativar DNSSEC?
R: A cadeia de confiança está quebrada. Três causas comuns: DS/DNSKEY não correspondem no registrador, RRSIG ausentes ou expiradas, ou servidores não servindo registros DNSKEY. Execute o modo Completo para encontrar o elo exato.
P: Qual a diferença entre os modos Simples e Completo?
R: Simples verifica a cadeia DS/DNSKEY/RRSIG em um servidor por zona (1-3 segundos). Completo adiciona consistência DNSKEY multi-servidor e valida RRSIG nos dados: SOA, NS, A, MX (5-10 segundos).
P: Quais algoritmos DNSSEC são recomendados?
R: ECDSAP256SHA256 (13) e ED25519 (15). Evite RSAMD5, DSA e RSASHA1-NSEC3-SHA1. A RFC 8624 os classifica como fracos ou proibidos.
P: DNSSEC deixa a resolução DNS mais lenta?
R: Impacto insignificante com resolvedores modernos. As respostas são maiores por causa das assinaturas, mas os resolvedores fazem cache dos resultados validados normalmente.
Ferramentas complementares
| Ferramenta | Utilidade |
|---|---|
| DNS Domain Check | Auditoria completa da configuração DNS incluindo verificação DNSSEC básica |
| DNS Lookup | Consultar manualmente os registros DS, DNSKEY ou RRSIG |
| DNS Propagation Test | Verificar a propagação das modificações DNSSEC ao redor do mundo |
| RDAP Lookup | Verificar o estado DNSSEC do domínio junto do registrar |
Recursos úteis
- RFC 4033 - DNS Security Introduction: Introdução às extensões DNSSEC
- RFC 4034 - Resource Records for DNSSEC: Especificação dos registros DS, DNSKEY, RRSIG, NSEC
- RFC 8624 - Algorithm Implementation Requirements: Requisitos sobre algoritmos DNSSEC
- RFC 7583 - DNSSEC Key Rollover Timing: Guia para rotação de chaves
- Verisign DNSSEC Debugger: Ferramenta de referência para debug DNSSEC
- DNSViz: Visualização avançada da cadeia DNSSEC