11 октября 2018 года корпорация ICANN планирует обновить криптографические ключи корневой зоны DNS, известные как «ключи подписи ключа корневой зоны» (KSK). Ключи были созданы в 2010 году и с тех пор не обновлялись. Обновление ключей похоже на смену пароля. Это поможет предотвратить кражу личной информации интернет-пользователя с помощью кэшированных копий сайтов, которые создают злоумышленники. Инфоник расскажет, чего ожидать пользователям интернета и даст советы, как можно предотвратить проблемы, связанные с обновлением.

Что такое DNSSEC и зачем нужен ключ KSK?

Система доменных имен (DNS) похожа на телефонную книгу Интернета, которая преобразовывает доменные имена в IP-адреса. Например, IP-адрес сайта nic.ua выглядит так 188.166.20.114 (на момент публикации статьи). Посмотреть IP-адрес своего сайта вы можете на dig.ua. Протокол DNSSEC обеспечивает безопасность DNS. Он усложняет подмену данных DNS, перенаправление на мошеннические сайты, созданные с помощью кэша DNS, используя пары криптографических ключей. Проверка данных основывается на цепочках доверия от корневой зоны вниз по всей системе доменных имен. Вершиной всех цепочек является ключ корневой зоны доменных имен — KSK (Key Signing Key).

Как это работает?

Когда посетитель вводит имя домена в браузере, DNS-сервер вашего провайдера проверяет цифровую подпись. Если цифровые подписи в данных совпадают с данными, хранящимися на DNS-серверах, то доступ к клиентскому компьютеру, выполняющему запрос, разрешен. Цифровая подпись DNSSEC гарантирует, что вы действительно общаетесь именно с тем сайтом или местом в Интернете, которое вы планируете посетить.

Кто столкнется с проблемами?

Как сообщает ICANN, обновление не отразится на пользователях, чей интернет-провайдер зависит от резолвера с последним KSK и от резолвера, в котором не включена DNSSEC-валидация.

Проблемы возникнут у поставщика интернет услуг с резолверами, в которых не указан новый KSK, то есть используется KSK-2010. После того, как обновление ключа закончится, пользователи будут получать сообщения об ошибках «server failure», «SERVFAIL» или запрашиваемый сайт не будет открываться.

Как подготовиться к обновлению KSK

Интернет провайдеру с резолверами, в которых не указан новый KSK необходимо обновить ключ вручную. Следует изменить конфигурацию своего резолвера, временно отключив валидацию DNSSEC. Это поможет немедленно устранить проблему. Затем установите KSK-2017 и снова включите валидацию DNSSEC.

NIC.UA советует пользователям, которые столкнулись с проблемой, подключиться к надежному серверу (не провайдера) для того, чтоб не зависеть от работы DNS резолвера провайдера. Как это сделать, читайте ниже.

Как сменить DNS-сервер на Windows 10?

Кликните правой кнопкой мыши по значку Windows в левом нижнем углу экрана и выберите «Сетевые подключения». В появившемся окне нажмите на «Ethernet» или «WiFi адаптер» в зависимости от вашего подключения. Справа в меню укажите пункт «Изменить настройки адаптера». На иконке с активным сетевым подключением нажмите правую кнопку мыши и выберите пункт «Свойства». В открывшемся диалоговом окне выберите настройку компонента «Протокол Интернета версия 4 (TCP/IPv4)».

Нажмите кнопку «Свойства» и кликните на пункт «Использовать следующие адреса DNS-серверов». В поле «Основной сервер» пропишите новые параметры. Например, Google DNS 8.8.8.8 (альтернативный 8.8.4.4), CloudFlare DNS 1.1.1.1 (альтернативный 1.0.0.1)

Как сменить DNS-сервер на MAC OS 10?

В системных настройках компьютера нажмите на иконку «Сеть». Далее необходимо выбрать карточку вашей сети слева — в большинстве случаев это будет Wi-Fi. Нажмите на кнопку «Дополнительно».

В новом диалоговом окне сверху выберите вкладку DNS. Нажав «+» вы сможете добавить новую запись.

Подробнее о процессе обновления ключей KSK вы можете прочитать в руководстве, которое подготовила ICANN.