Cloudflare въведе код, който показва кога DNSSEC е заобиколен

DNSSEC е подписът под DNS отговора. Всеки домейн в тази верига носи криптографски ключ, а бащиният регистър, root зоната, пази отпечатък от него - DS запис. Преди да ти върне адреса на сайта, резолвърът проверява дали подписът пасва на отпечатъка. Смени ли операторът на домейна ключа (нормална процедура, нарича се 'rollover'), трябва да качи горе и новия отпечатък. Пропусне ли това, веригата на доверие се къса, и всеки резолвър, който проверява подписи, отказва да разреши домейна. Точно това се случи на 3 юли с .AL, албанския национален домейн.

Ключове се чупят постоянно. Самата авария е скучната част. Интересното е какво прави Cloudflare след нея. Стандартният бърз изход е негативна доверителна котва - резолвърът просто спира да проверява този домейн и връща отговора все едно нищо не е станало. И тук е тънкото - резолвър, който тихо спре проверката, изглежда отвън същия като резолвър, който е проверил и потвърдил, че всичко е наред. EDE код 33 слага етикет върху заобикалянето, четим от машина: 'тук пропуснах проверката', написано в самия отговор. .AL и днес е практически неподписан, така че решението е временен компромис - купува достъп, докато домейнът се оправи.

Резолвър, който мълчаливо спре да проверява, изглежда точно като резолвър, който е проверил.

Поуката е отвъд DNS. Системата, която признава кога е свалила гарда, е по-безопасна от онази, която изглежда чиста и просто е спряла да гледа. Строиш ли нещо, което пази - firewall, auth слой, каквото и да е - въпросът не е само дали работи, а дали ти казва, когато спре да работи както трябва. Прозрачен байпас бие тих провал всеки път.

Визуалът към статията е генериран код-арт, без чужди изображения.