Administrace komentářů

Tady se Vám podařilo udělat hned několik velmi poučných chyb:

V obou případech se ptáte na NS záznam domény eu - v prvním případě rootovského nameserveru, v druhém případě autoritativního nameserveru, na který je doména eu. delegována. Potíž je ale se šablonovitým použitím příkazu grep; kořenový nameserver vám na dotaz vrátí odpověď s prázdnou ANSWER sekcí (protože NS záznam k eu. nezná), ale poskytne informaci o serverech, na které je zóna eu. delegována v AUTHORITY sekci. V této sekcjou jsou také DS záznamy pro eu. včetně podpisu - a právě tento podpis DS záznamu Váš grep zachytil kvůli řetězci 'ns' v podpisu samotném (Uxo05H0wnsn6...).

V druhém případě už grep zachytil skutečně podepsaný NS záznam domény eu., ale odlišnost od podpisu v minulém případě nás nepřekvapí - jedná se o různé záznamy podepsané různými klíči. Měl by vás hned zarazit fakt, že podpis má KEYTAG jiného klíče (40288 vs. 61808).

Stejný záznam může být totiž podepsán více klíči, což pak odpovídá více RRSIG záznamů s různými KEYTAGy. Je to dokonce nezbytné při rolloveru nových klíčů. Pokud totiž chcete použít k podepisování záznamů nový klíč, musíte ho nejdřív podepsat tím starým, a zároveň připojit podpisy ostatních záznamů tímto novým klíčem, počkat, až se vypublikuje (tzn. nejméně po dobu TTL záznamů), a teprve poté, když jsou záznamy podepsané dvěma klíči (novým a starým) najednou, teprve tehdy můžete ten starý odebrat.

Pokud to neuděláte, způsobíte tzv. DNSSEC smrt, protože resolver, který věřil starému klíči, náhle nachází zónu podepsanou jiným klíčem, kterému nevěří, a výsledkem je servfail až do expirace starých podpisů a KEYSETů. Resolver, který doménu předtím neresolvil (a nemá nacachované staré klíče), přitom samozřejmě bude zónu resolvit bez problémů, což právě v tomhle případě není důkaz, že byl rollover proveden správně.

Níže je o tom pěkné povídání, tak si ho prosím přečtěte, a dejte ho pokud možno přečíst také svému registrátorovi domén, aby se podobné incidenty nemusely opakovat.

Firmy nezvládají DNSSEC a domény umírají