DNSSEC-Prüfer
DNSSEC signiert die Antworten Ihrer Domain, sodass ein Client unterwegs erkennen kann, dass sie nicht gefälscht wurden. Eine halbfertige Einrichtung ist schlimmer als keine: Eine fehlerhafte Signatur macht die Domäne nicht weniger sicher, sondern lässt sie verschwinden. Überprüfen Sie eine von Ihnen kontrollierte Domäne und prüfen Sie, ob DNSSEC aktiviert ist und ob es validiert.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Was DNSSEC ist, in einem Absatz
Gewöhnliche DNS-Antworten sind nicht signiert: Ein Resolver glaubt, was ihn zuerst erreicht. DNSSEC fügt hinzuSignaturen zu den Antworten und eine Vertrauenskette, die vom Stamm über die Top-Level-Domain bis hinunter zu Ihrer Zone führt. Ihre Zone veröffentlicht ihre öffentlichen Schlüssel; Der Elternteil veröffentlicht einen Fingerabdruck von ihnen (den DS-Eintrag). Ein validierender Resolver durchläuft diese Kette und lehnt eine Antwort ab, die nicht übereinstimmt.
Fünf Gründe, Ihr eigenes DNSSEC zu überprüfen
01
Sehen Sie, ob DNSSEC überhaupt aktiviert ist
Bei den meisten Anbietern ist es standardmäßig deaktiviert und das muss auch so seinan zwei Stellen eingeschaltet – beim DNS-Anbieter, der die Zone signiert, und beim Registrar, der den DS-Eintrag auf der übergeordneten Seite veröffentlicht. Wenn Sie nur eine davon ausführen, bleibt die Domain auf dem Papier signiert und in der Praxis ungeschützt. Das Ergebnis von beidem lässt sich nur durch eine Kontrolle von außen erkennen.
02
Eine unterbrochene Kette führt dazu, dass die Domain offline geht
Dies ist der Teil, der DNSSEC von allen anderen Einträgen in dieser Liste unterscheidet. Wenn die Signaturen nicht mit dem DS-Eintrag übereinstimmen – nach einer Provider-Migration, einem Schlüssel-Rollover oder einem Registrarwechsel – antworten validierende Resolver mit einem Fehler und nicht mit der falschen Adresse. Die Domäne wird für alle, die hinter einem solchen Resolver stehen, nicht mehr aufgelöst, was einen großen Teil des Internets umfasst, und auf dem Server ist nichts falsch.
03
Aktiviert ist nicht dasselbeals validierend
Schlüssel können veröffentlicht werden und Signaturen können existieren und die Kette kann dennoch irgendwo unterbrochen werden. Was zählt, ist, ob ein validierender Resolver das Ergebnis akzeptiert, und das ist es, wonach man auf dieser Seite gefragt wird.
04
Zone Walking oder wie NSEC Ihre Namen auflistet
Um zu beweisen, dass ein Name nicht existiert, muss DNSSEC die Lücken zwischen den Namen signieren, bei denen dies der Fall ist. Mit einfachem NSEC benennt dieser Beweis den nächsten Datensatz in der Zone, sodass jeder ein paar fragen kannFragen und lesen Sie die gesamte Namensliste. NSEC3 hasht sie, um das zu erschweren. Eine Zone, die ihre Namen für jeden auflistet, der danach fragt, stellt ihre interne Struktur kostenlos zur Verfügung.
05
Nachweis, dass die Domain geschützt ist
Versicherer und Unternehmenskunden fragen namentlich nach DNSSEC. Ein datierter Bericht, der zeigt, dass die Kette validiert wurde und wann sie sich geändert hat, ist eine bessere Antwort als ein Screenshot eines DNS-Panels, und es ist ein Beweis, den Sie könnenbehalten.
Erkennen Sie den Tag, an dem sich Ihr DNSSEC ändert
DNSSEC ist der einzige Datensatz, bei dem eine routinemäßige Änderung alles kaputt machen kann: eine Anbietermigration, einen Registrartransfer, einen Schlüssel-Rollover, den niemand geplant hat.
Geplante Scans machen daraus einen Unterschied, der Ihnen mitgeteilt wird: Diese Zone wurde letzte Woche unterzeichnet und ist es jetzt nicht mehr, diese Kette hat die Validierung eingestellt, dieser Grad ist gesunken. Benachrichtigungen kommen in der App, per E-Mail oder über Slack, Teams, Jira oder aWebhook.
Schritt 01 · Benennen Sie die Domain
Eine von Ihnen kontrollierte Domain, die Ihrem AYAsec-Konto hinzugefügt wurde. Der Besitz wird überprüft, bevor etwas versendet wird – AYAsec plant keine Scans für die Infrastruktur, über die Sie nicht nachgewiesen haben, dass Sie die Kontrolle darüber haben, und beweist, dass dafür ein DNS-Eintrag benötigt wird. Bei der obigen Schnellprüfung wird dies übersprungen: kein Konto, keine Verifizierung, nur IP-Ratenbegrenzung und die Regel, dass das Ziel ein sein mussöffentliche Ansprache.
Schritt 02 · Lassen Sie die Prüfung laufen
DNSSEC-Daten sind öffentlich, es handelt sich also um Lesevorgänge und nicht um Prüfvorgänge. Es fragt einen validierenden Resolver nach den Schlüsseln und der Antwort und schaut sich an, was er sagt.
Schritt 03 · Lesen Sie das Ergebnis
Die Ergebnisse werden nach Schweregrad geordnet und mit A+ bis F bewertet. Eine Zone, die nicht validiert wird, und eine Zone, die lediglich nicht signiert ist, befinden sich nicht in derselben undifferenzierten Liste.
Wozu das gehört
DNSSEC ist einer von mehrerenDinge, die AYAsec im Rahmen seines DNS-Scans überprüft, neben SPF, DKIM, DMARC, MTA-STS und TLS-RPT sowie die Nameserver-Konfiguration und den Datensatzzustand. Es handelt sich um einen Scan, und diese Seite handelt von einem Teil dessen, was sie betrachtet.
DNS trägt 20 % der Gesamtnote. Die anderen sind HTTP bei 30 %, TLS undPorts zu jeweils 20 % und Domain-Glaubwürdigkeit zu 10 %. Sie alle zusammen sind das, was Angriffsflächenmanagement in der Praxis bedeutet.
Fragen, bevor Sie nachsehen
Was kann ich überprüfen?
Infrastruktur, die Sie besitzen oder mit deren Testen Sie beauftragt wurden. Der obige Schnellcheck bestätigt das nicht für Sie – er schränkt die Rate nur nach IP ein und weigert sich, auf irgendetwas anderes als eine öffentliche Adresse abzuzielen. Fügen Sie stattdessen die Domain zu einem AYAsec-Konto hinzu, und die Kontrolle wird überprüft, bevor irgendetwas geplantes ausgeführt wird: eine rechtliche und praktische Grenze, da ein ungeprüfter Scan auch für Sie als Beweismittel nicht von Nutzen ist.
DNSSEC-Daten sind öffentlich. Warum ist das nötig?Verifizierung?
Die Daten sind öffentlich und der Scheck ist schreibgeschützt, sodass der Scheck selbst harmlos ist. Bei der Verifizierung geht es darum, was als nächstes passiert: Eine Domain in Ihrem AYAsec-Konto wird überwacht, bewertet und in Ihrem Verlauf gespeichert, und nichts davon sollte für eine Domain möglich sein, die nicht Ihre eigene ist.
Verschlüsselt DNSSEC etwas?
Nein. Es beweist, dass eine Antwort echt ist; es verbirgt es nicht. Das Verschlüsseln des Datenverkehrs zwischen einem Client und einem Resolver ist eineetwas anderes.
Ist DNSSEC das Risiko wert, die Domain zu zerstören?
Für die meisten Domains ja, solange es eingeschaltet und dann beobachtet wird. Das Risiko ist real, aber begrenzt: Es besteht in den Momenten, in denen sich Schlüssel oder Anbieter ändern. Durch eine geplante Überprüfung wird „Wir hoffen, dass die Kette in Ordnung ist“ an dem Tag, an dem dies nicht der Fall ist, zu einer Mitteilung.
Mein Provider signiert die Zone für mich. Bin ich fertig?
Erst wenn der Registrar den passenden DS-Eintrag veröffentlicht. Eine signierte Zone ohne aDS beim Elternteil wird von niemandem validiert.
Behalten Sie die Ergebnisse?
Nicht die kurze Überprüfung oben – sie verbleibt etwa fünfzehn Minuten lang im Speicher, sodass Sie sie einmal lesen können, dann ist sie verschwunden. Das ist eine bewusste Datenschutzentscheidung und keine Einschränkung: Niemand außer Ihnen sieht jemals diesen Scan, und Sie können das vollständige Ergebnis herunterladen, bevor es abläuft. Fügen Sie die Domäne stattdessen einem AYAsec-Konto hinzu, und jeder Scan wird gespeichert – eine Reihe, die Ihnen sagt, welche Bearbeitung ihn beschädigt hat. Die Aufbewahrung hängt von Ihrem Plan ab.
Behalten Sie die Geschichte, nicht nur dieErgebnis
Führen Sie die vollständige DNS-Prüfung für Ihre eigenen Domänen nach einem Zeitplan durch, wobei jede Änderung für denjenigen gekennzeichnet wird, der sie sehen muss.
Die anderen Dame
– DNS-Sicherheitsprüfer – SPF, DKIM, DMARC, MTA-STS und die Datensätze selbst
DMARC-Prüfer – Was passiert mit E-Mails, die die Prüfung nicht bestehen?
MTA-STSchecker – ist die Verbindung, die Ihre E-Mails überträgt, geschützt?
Strukturierte Daten zum Einbetten
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DNSSEC Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dnssec-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Fügen Sie kein FAQPage- oder HowTo-Markup hinzu – Google hat beide Ergebnistypen zurückgezogen.