DNSSEC: registe o seu domínio

Para se defender desta prática, o protocolo DNSSEC utiliza os princípios da criptografia assimétrica e da assinatura digital para garantir a autenticidade dos dados, bem como uma prova de não existência se o registo solicitado não existir e puder ser considerado fraudulento.

Ativar DNSSEC

Um servidor DNS serve para obter o endereço IP correspondente a um nome de domínio (URL no caso de um website). Trata-se de uma espécie de diretório. O serviço DNS traduz os nomes de domínio em endereços IP, bem como noutros tipos de registos. O endereço IP é necessário para que o browser possa contactar o servidor web responsável pelo site que pretende visitar, pois o endereço IP identifica de forma única cada máquina ligada à Internet, exatamente como um número de telefone. É um elemento discreto mas crucial para a segurança na Internet. O exemplo mais comum de servidor DNS é o servidor BIND, o mais presente na Internet.

Atualmente, os endereços IP são principalmente registados em IPv4 e foi iniciado um processo de transição para utilizar endereços IPv6. Cada associação de nome de domínio a um endereço IP é única.

Os servidores DNS têm uma hierarquia. A raiz (geralmente representada por um ponto) é o centro hierárquico mais alto. Num domínio, é possível criar vários subdomínios que, por sua vez, podem criar delegações de subdomínios alojados noutros servidores. As delegações criam então zonas com o seu próprio sistema hierárquico. Os domínios que se situam pouco abaixo da raiz são os domínios primários (TLD ou Top Level Domain). As atualizações são feitas no servidor primário do domínio. A transferência da zona consiste na reprodução dos registos do servidor primário pelos servidores secundários.

Quando um host procura um domínio, percorre o conjunto da hierarquia do DNS de forma iterativa até ao domínio preciso. Um fornecedor de acesso à Internet coloca à disposição dos seus clientes servidores recorrentes que realizam investigações deste tipo. Quando este servidor efetua uma pesquisa de endereço IP, o servidor envia o pedido aos servidores raiz e escolhe um que lhe dê uma resposta. Se não for o caso, irá escolher outro na lista dos servidores e assim sucessivamente. É possível que consulte vários servidores antes de encontrar o que corresponde ao pedido.

No caso de uma resolução inversa (ou reverse DNS), ou seja, de uma pesquisa utilizando o seu endereço IP em primeiro lugar, esta é realizada através de uma entrada PTR. Indica a que nome do servidor host corresponde o endereço do servidor em causa. Se for especificada, deve conter o registo inverso de uma entrada DNS A ou AAAA. Os pedidos dos servidores de e-mails online (e-mails, etc.) não possuem nenhum registo PTR, pelo que têm mais hipóteses de não serem bem-sucedidos.

No que diz respeito aos outros registos DNS, encontra-se geralmente o SOA record (Start Of Authority record) que fornece informações sobre a zona: servidor principal, e-mail de contacto, diferentes durações, incluindo a data de expiração, número de série da zona, etc. É, de certa forma, o cartão de identidade do servidor DNS. Este registo de tipo de dados DNS inclui um número de série que se deve incrementar em cada modificação do ficheiro de zona.

Também se encontra o TXT record que permite a um administrador criar texto num registo DNS. Qualquer tipo de registo está associado a um TTL (Time to Live) que corresponde a uma duração de vida, ou seja, o tempo durante o qual é permitido o seu armazenado num servidor de cache. E é aqui que pode ocorrer o ataque de envenenamento da cache DNS (ou DNS cache poisoning).

O envenenamento da cache DNS, ou poluição da cache DNS, é uma técnica de hacker destinada a enganar um servidor DNS, fazendo-o crer que recebe uma resposta válida e autêntica a um pedido. O servidor DNS contaminado coloca a informação numa cache. Os utilizadores são então reencaminhados para locais duvidosos, que podem ser utilizados para phishing ou como canal para instalar um vírus.

Geralmente, o atacante explora uma vulnerabilidade do servidor DNS que aceitaria pedidos imprecisos ou falsos. As vítimas, que esperam aceder ao conteúdo pretendido, veem-se confrontadas com outro conteúdo potencialmente perigoso.

Geralmente, um servidor DNS possui uma porta 53. O tamanho máximo de uma resposta deve ser de 512 bytes e , se ultrapassar este tamanho, o pedido é reenviado para o Tcp 53. Contudo, este tipo de reencaminhamento é raro, uma vez que os fornecedores de alojamento restringem a possibilidade de transferir zonas DNS desta forma.

Ativar DNSSEC

Encontre todas as informações para ativar o DNSSEC nos seguintes manuais:
Editar uma zona DNS da OVH
Alterar os servidores DNS de um nome de domínio OVH