¿Qué es DNSSEC?
DNSSEC añade mecanismos criptográficos al sistema DNS para permitir la validación de la autenticidad e integridad de determinadas respuestas. Utiliza firmas digitales y una cadena de confianza para ayudar a detectar respuestas DNS que no coinciden con la información firmada de la zona.
¿Qué es DNSSEC?
DNSSEC es un conjunto de extensiones de seguridad para DNS que permite comprobar criptográficamente la autenticidad e integridad de determinadas respuestas DNS.
Para ello utiliza registros como DNSKEY, DS y RRSIG que forman parte de una cadena de confianza entre distintas zonas DNS.
¿Por qué existe DNSSEC?
DNS fue diseñado principalmente para resolver nombres y direcciones, por lo que DNSSEC añade mecanismos destinados a validar las respuestas.
DNS por sí solo no firma criptográficamente todas sus respuestas
Una consulta DNS tradicional obtiene una respuesta del proceso de resolución, pero el protocolo DNS original no incorpora por sí mismo un mecanismo de firma digital para comprobar que los datos recibidos corresponden a los datos publicados por la zona.
DNSSEC añade firmas digitales
DNSSEC permite asociar firmas criptográficas a conjuntos de registros DNS y utilizar claves públicas para validar esas firmas.
La validación depende de una cadena de confianza
Las claves y firmas no se consideran de forma aislada. DNSSEC utiliza relaciones entre zonas para construir una cadena de confianza hasta una raíz de confianza.
DNSSEC no cifra las consultas DNS
DNSSEC está orientado a la autenticación y la integridad de los datos DNS, no a ocultar el contenido de una consulta frente a observadores de red.
Validar el origen
Permite comprobar que una respuesta validada corresponde con la información firmada de la zona.
Detectar modificaciones
Las firmas permiten detectar respuestas que no coinciden con los datos firmados.
No es cifrado DNS
DNSSEC no proporciona confidencialidad para las consultas DNS.
¿Qué es un registro DNSKEY?
DNSKEY es un tipo de registro que publica una clave pública utilizada dentro del mecanismo DNSSEC para verificar firmas criptográficas de una zona.
Una zona DNSSEC puede utilizar diferentes claves con funciones distintas dentro de su configuración.
ejemplo.cl. IN DNSKEY ...El contenido real de un registro DNSKEY es mucho más extenso que este ejemplo y contiene información codificada relacionada con la clave y sus parámetros.
¿Qué es un registro RRSIG?
RRSIG contiene una firma digital asociada a un conjunto de registros DNS que permite realizar una validación criptográfica.
Cuando un resolver DNSSEC obtiene los datos y la firma correspondiente, puede utilizar la clave pública apropiada para comprobar si los datos son válidos.
ejemplo.cl. IN RRSIG A ...¿Qué es un registro DS?
DS permite vincular la información DNSSEC de una zona hija con la zona padre mediante un resumen criptográfico asociado a una clave DNSKEY.
Esta relación es fundamental para construir la cadena de confianza DNSSEC entre una zona y su superior.
ejemplo.cl. IN DS ...Cómo funciona la cadena de confianza de DNSSEC
DNSSEC utiliza relaciones criptográficas entre diferentes niveles de la jerarquía DNS. La validación parte desde una raíz de confianza y continúa mediante las delegaciones entre zonas.
| Elemento | Función | Relación |
|---|---|---|
| Zona raíz | Punto de confianza inicial. | Inicio de la validación. |
| DS | Vincula una delegación con una clave de la zona hija. | Zona padre → zona hija. |
| DNSKEY | Publica claves utilizadas para validación. | Zona DNSSEC. |
| RRSIG | Contiene firmas de registros DNS. | Datos firmados. |
¿Qué ocurre cuando un resolver valida DNSSEC?
Un resolver que realiza validación DNSSEC puede comprobar las firmas y las relaciones criptográficas necesarias para determinar si la respuesta es válida dentro de la cadena de confianza.
Si la validación no coincide con las claves y firmas esperadas, el resolver puede considerar que la respuesta no es válida en lugar de aceptarla como una respuesta DNS auténtica.
DNSSEC no determina por sí solo qué dirección IP debe utilizar un sitio. Su función es añadir mecanismos para validar la autenticidad e integridad de los datos DNS firmados.
¿Qué problemas ayuda a detectar DNSSEC?
Respuestas DNS modificadas
Las firmas digitales permiten detectar que los datos recibidos no corresponden con los datos que fueron firmados por la zona.
Suplantación de datos DNS
DNSSEC ayuda a impedir que una respuesta modificada sea considerada válida cuando no puede superar la verificación criptográfica.
Falta de autenticidad
La cadena de confianza proporciona una forma de comprobar la relación entre las claves y las zonas DNS involucradas.
Qué no hace DNSSEC
No cifra las consultas DNS
DNSSEC proporciona autenticación e integridad, pero no confidencialidad.
No sustituye HTTPS
La validación DNSSEC y el cifrado HTTPS resuelven problemas diferentes y pueden utilizarse conjuntamente.
No elimina todos los ataques relacionados con DNS
DNSSEC protege específicamente la autenticidad e integridad de los datos DNS que pueden validarse mediante el mecanismo DNSSEC.
Principales elementos de DNSSEC
| Elemento | Qué hace |
|---|---|
| DNSKEY | Publica claves utilizadas para la validación. |
| RRSIG | Contiene firmas digitales asociadas a conjuntos de registros. |
| DS | Vincula la zona hija con la zona padre dentro de la cadena de confianza. |
| NSEC / NSEC3 | Permiten demostrar determinadas respuestas negativas dentro de DNSSEC. |
Cómo comprobar información DNSSEC de un dominio
Puedes utilizar herramientas DNS especializadas para comprobar si un dominio publica registros relacionados con DNSSEC.
Desde la terminal también puedes consultar algunos registros directamente:
dig DNSKEY ejemplo.clPara consultar el registro DS puedes utilizar:
dig DS ejemplo.clSigue aprendiendo sobre DNS y seguridad
Puedes comenzar por: qué es DNS y cómo funciona .
También puedes revisar: qué es un registro DNS .
Para comprender los nameservers: qué es un registro NS .
Para consultar información técnica: explicación de DNSSEC .
Preguntas frecuentes sobre DNSSEC
DNSSEC es un conjunto de extensiones de seguridad para DNS que permite validar criptográficamente determinadas respuestas y construir una cadena de confianza.
Sirve para añadir mecanismos de autenticación e integridad a determinados datos DNS mediante firmas digitales y una cadena de confianza.
No. DNSSEC está orientado a la autenticación e integridad de los datos DNS, no al cifrado de las consultas.
DNSKEY es un registro que publica una clave utilizada dentro de la validación criptográfica de una zona DNSSEC.
RRSIG contiene una firma digital asociada a un conjunto de registros DNS para permitir su validación criptográfica.
DS vincula una zona hija con la zona padre mediante información criptográfica asociada a una clave DNSSEC.
No. DNSSEC y HTTPS cumplen funciones diferentes. DNSSEC protege la validación de datos DNS, mientras HTTPS protege la comunicación entre cliente y servidor mediante TLS.
Puedes consultar registros como DS y DNSKEY mediante herramientas DNS como dig y utilizar validadores especializados para comprobar la cadena de confianza.
Aprende qué es un DNS público
Descubre qué es un DNS público, cómo funciona y en qué se diferencia del DNS autoritativo de un dominio.
Ver guía →