DNSSEC

Инфографик кўриниш

Домен номи тизимининг хавфсизлик кенгайтмалари (инглизча: ДНССЕC - Домаин Наме Сйстем Сеcуритй Эхтенсионс) Интернет Протоcол (ИП) тармоқларида домен номлари тизимида (ДНС) алмашинадиган маълумотларни хавфсизлигини таъминлаш учун Интернет Энгинеэринг Таск Форcе (ИЭТФ) томонидан кенгайтирилган спецификациялар тўпламидир. Протокол маълумотларнинг криптографик аутентификациясини, мавжудлигини рад этишнинг ҳақиқийлигини ва маълумотлар яхлитлигини таъминлайди, аммо мавжудлиги ёки махфийлигини таъминламаслиги мумкин.

Умумий маълумотлар

Домен номлари тизимининг дастлабки дизайни ҳеч қандай хавфсизлик хусусиятларини ўз ичига олмайди. Бу фақат миқёсли тақсимланган тизим сифатида ўйлаб топилган. Домен номи тизимининг хавфсизлик кенгайтмалари (ДНССЕC) орқага қараб мувофиқлигини сақлаб, хавфсизликни қўшишга ҳаракат қилади. РФC 3833 ДНС учун маълум бўлган таҳдидларнинг бир қисмини ва ДНССЕCда уларни ҳал қилишни ҳужжатлаштиради.

ДНССЕC ДНСдан фойдаланган дастурларни ДНС-кеш билан зарарланиш натижасида ҳосил бўлган сохта ёки манипуляция қилинган ДНС маълумотларини қабул қилишдан ҳимоя қилиш учун ишлаб чиқилган. ДНССЕC ҳимояланган зоналарининг барча жавоблари рақамли имзоланган. Рақамли имзони текшириб, ДНС-резолюцияси маълумот эгаси томонидан эълон қилинган ва ваколатли ДНС-серверда тақдим этилган маълумот билан бир хиллигини (яъни ўзгартирилмаган ва тўлиқ) текшириши мумкин. ИП-манзилларни ҳимоя қилиш кўплаб фойдаланувчилар учун долзарб муаммо бўлса-да, ДНССЕC ДНСда нашр этилган ҳар қандай маълумотларни, шу жумладан матн ёзувларини (ТХТ) ва почта алмашинуви ёзувларини (МХ) ҳимоя қилиши мумкин ва криптографик маълумотларга ҳаволалар нашр этадиган бошқа хавфсизлик тизимларини юклаш учун ишлатилиши мумкин. Сертификат ёзувлари (CЕРТ ёзувлари, РФC 4398), ССҲ бармоқ излари (ССҲФП, РФC 4255), ИПСеc очиқ калитлари (ИПСЕCКЕЙ, РФC 4025) ва ТЛС ишонч анкражлари (ТЛСА, [рфc:6698 РФC] 6698) каби ДНСда сақланган сертификатлар.

ДНССЕC маълумотлар махфийлигини таъминлаш эмас; хусусан, ДНССЕCнинг барча жавоблари тасдиқланган, аммо шифрланмаган. ДНССЕC тўғридан-тўғри ДоС ҳужумларидан ҳимоя қилмайди, гарчи у билвосита бир оз фойда келтиради (чунки имзо текшируви потенциал ишончли томонлардан фойдаланишга имкон беради). 

Ишлаш

ДНССЕC очиқ калитли криптография ёрдамида ДНС қидириш учун ёзувларни рақамли имзолаш билан ишлайди. Тўғри ДНСКЕЙ ёзуви ишончли учинчи шахс бўлган ДНС илдиз зонаси учун тасдиқланган очиқ калитлар тўпламидан бошлаб ишончли занжир орқали тасдиқланади. Домен эгалари ўзларининг калитларини яратадилар ва уларни ДНС бошқарув панели ёрдамида ўзларининг домен номларини рўйхатдан ўтказувчисига юклайдилар, бу эса ўз навбатида калитларни сеcДНС орқали зоналар операторига (масалан, Верисигн фор.cом) уларни имзолайдиган ва нашр этадиган ДНС-да юборади.

Алгоритмлари

ДНССЕC кенгайтириладиган қилиб ишлаб чиқилган бўлиб, мавжуд алгоритмларга қарши ҳужумлар аниқланганда, янгилари орқага қараб мос равишда киритилиши мумкин. Қуйидаги жадвалда 2013-йил апрел ҳолатига кўра энг кўп ишлатиладиган хавфсизлик алгоритмлари аниқланган.

Алгоритм майдони	Алгоритм	Манба	ДНССЕC имзоси	ДНССЕC-ни тасдиқлаш
1	РСА / МД5		Амалга оширилмаслиги керак	Амалга оширилмаслиги керак
3	ДСА / СҲА-1		Амалга оширилмаслиги керак	Амалга оширилмаслиги керак
5	РСА / СҲА-1	РФC 3110	Тавсия этилмайди	Мажбурий
6	ДСА-НСЕC3-СҲА1		Амалга оширилмаслиги керак	Амалга оширилмаслиги керак
7	РСАСҲА1-НСЕC3-СҲА1	РФC 5155	Тавсия этилмайди	Мажбурий
8	РСА / СҲА-256	[рфc:5702 РФМ 5702]	Мажбурий	Мажбурий
10	РСА / СҲА-512		Тавсия этилмайди	Мажбурий
12	ГОСТ Р 34.10-2001	РФC 5933	Амалга оширилмаслиги керак	Мажбурий эмас
13	ЭCДСА / СҲА-256	РФC 6605	Мажбурий	Мажбурий
14	ЭCДСА / СҲА-384		Мажбурий эмас	Тавсия этилади
15	Эд25519	РФC 8080	Тавсия этилади	Тавсия этилади
16	Эд448		Мажбурий эмас	Тавсия этилади