DNSSEC .gov.it / integrità della risoluzione
Senza DNSSEC un resolver non può sapere se la risposta del tuo dominio è autentica o manomessa. dotNice imposta e verifica la firma elemento per elemento — firma della zona, DS al parent, validazione, rollover — perché una catena incompleta non protegge.
Molti enti credono di avere il DNSSEC perché la zona è firmata, ma la firma protegge solo se l'intera catena di fiducia regge: la zona è firmata, il record DS è pubblicato al livello superiore, i resolver validano davvero e le chiavi vengono ruotate senza rompere la catena. Basta un anello mancante — un DS non pubblicato, un rollover gestito male — perché la firma diventi inutile o, peggio, renda il dominio irraggiungibile per i resolver che validano. dotNice verifica la catena intera, non il singolo passo.
La firma usa una coppia di chiavi (KSK e ZSK) e genera i record di firma sulla zona. dotNice verifica che la firma sia presente, valida e con parametri adeguati, perché una zona firmata con configurazione debole o record incoerenti dà una falsa sicurezza senza una reale protezione.
La firma vale solo se il record DS è pubblicato al livello superiore: è l'anello che collega la zona alla radice della fiducia. Un DS mancante o non aggiornato dopo un cambio chiave spezza la catena. dotNice verifica che il DS sia presente, corretto e coerente con le chiavi in uso.
La protezione è reale solo se i resolver validano, e resta nel tempo solo se le chiavi vengono ruotate senza interruzioni. Il rollover è il momento più rischioso del DNSSEC: fatto male, mette offline il dominio per chi valida. dotNice imposta una procedura di rollover e un monitoraggio della validità, così la firma resta valida senza incidenti.
Modello operativo
Il DNSSEC si riconduce a pochi elementi, ognuno con una funzione e un effetto se manca o è gestito male. Letti insieme sono la catena di fiducia: o regge intera, o non protegge. La matrice è lo strumento con cui IT e security vedono, per elemento, cosa è in essere e cosa manca.
| Elemento | Cosa fa | Rischio se manca | Segnale ok |
|---|---|---|---|
| Firma zona | Firma i record con KSK/ZSK | Risposte non firmate | RRSIG presenti e validi |
| DS al parent | Collega la zona alla radice | Catena spezzata | DS coerente con la KSK |
| Validazione | I resolver verificano la firma | Protezione solo teorica | Validazione AD positiva |
| Rollover chiavi | Ruota le chiavi nel tempo | Dominio offline per chi valida | Rollover senza interruzioni |
La zona è firmata ma sei sicuro che la catena sia completa e validata? Verifica il DNSSEC prima del prossimo rollover.
Richiedi una verifica DNSSECContesto direzionale
Il DNSSEC è una decisione di integrità, non un'attivazione una tantum. La direzione dell'ente dovrebbe arrivare al primo confronto sapendo se la zona è firmata, se il DS è pubblicato e aggiornato, se i resolver validano davvero e come è gestito il rollover delle chiavi. Significa anche distinguere una firma presente da una catena effettivamente completa. Il modulo registra cosa è in essere e cosa dotNice deve ancora verificare.
Assegnare presto gli owner rende la firma affidabile. L'IT e la security possiedono firma, chiavi e rollover; chi gestisce la delega possiede la pubblicazione del DS al parent; la direzione possiede la priorità. Una zona può risultare "firmata" e avere la catena spezzata da un DS non aggiornato: è la lacuna che la verifica fa emergere, e dotNice coordina questi ruoli senza sostituirli.
Qualificazione
Per RTD, CIO, CISO e responsabili IT, il punto di partenza utile è un record decisionale concreto più che un brief generico. Dovrebbe indicare se la zona è firmata, se il DS è pubblicato, se la validazione è verificata e come è gestito il rollover. Con questi elementi dotNice distingue una verifica rapida da un'attivazione completa del DNSSEC, da una riparazione di una catena spezzata o dalla messa a punto di un rollover sicuro — e raccomanda con chiarezza cosa firmare, pubblicare, validare o ruotare.
La verifica dà il massimo quando chi richiede sa descrivere lo stato attuale: se la zona è firmata, chi gestisce le chiavi, se il DS è al parent e quale team possiede la delega. Una richiesta è qualificata quando indica lo stato della firma e del DS. L'output è una decisione circoscritta — una catena DNSSEC verificata con owner — non un catalogo di servizi.
Il costo dell'attesa va nello stesso record. Una zona non firmata resta esposta a cache poisoning e spoofing, e una catena spezzata o un rollover sbagliato può mettere offline il dominio per tutti i resolver che validano. Quantificare l'impatto — rischio di manomissione, dominio irraggiungibile per chi valida — è ciò che trasforma il DNSSEC da attivazione a decisione con un owner e una scadenza.
Percorso operativo
Il DNSSEC è una sequenza ordinata: firmare la zona, pubblicare il DS, verificare la validazione, gestire il rollover. Contatta il team dotNice per attivare il DNSSEC, riparare una catena spezzata o impostare un rollover sicuro.
Contatti
Descrivi se la zona è firmata, se il DS è al parent e come gestisci il rollover. Un CIO o la direzione IT può usare il modulo di richiesta per qualificare una verifica e prepararla. La richiesta è presa in carico dagli specialisti dotNice e instradata al team competente.