ГОСТ-2012 в DNSSEC: поддержка RFC 9558 в НАЙС.ОС¶
НАЙС.ОС поддерживает проверку DNSSEC-подписей, созданных по российским алгоритмам ГОСТ-2012, согласно RFC 9558. Возможность реализована в системной службе разрешения доменных имён systemd-resolved для сборок НАЙС.ОС, содержащих соответствующее обновление. Она дополняет уже существующие механизмы DNSSEC, а не заменяет их.
Для пользователей. Если организация использует DNSSEC с ГОСТ-2012, НАЙС.ОС может проверить подлинность подписанных DNS-ответов и обнаружить их подмену. Обычно эта проверка работает незаметно: пользователь, как прежде, открывает сайт или подключается к службе по имени.
Для администраторов. Поддержка алгоритма в системном компоненте и включённая проверка DNSSEC — не одно и то же. Нужны актуальный пакет, работающая служба, корректная настройка, поддерживающая DNSSEC сеть и действующая цепочка доверия.
Что нового¶
Возможность позволяет НАЙС.ОС проверять DNSSEC-данные с ГОСТ Р 34.10-2012 (электронная подпись) и ГОСТ Р 34.11-2012 (хэш-функция «Стрибог»). В RFC 9558 для этих целей предусмотрены номер 23 для алгоритма подписи и номер 5 для типа отпечатка DS. В НАЙС.ОС проверку выполняет системная служба systemd-resolved с использованием встроенных криптографических компонентов.
Это означает, что система способна распознавать и криптографически проверять соответствующие подписи DNS. Если ответ изменён по дороге или подпись недействительна, включённый строгий режим DNSSEC позволяет отказаться от использования такого ответа.
Что поддержка не означает: НАЙС.ОС не начинает автоматически подписывать DNS-зоны, не шифрует DNS-запросы посредством RFC 9558 и не превращает любой сайт в «проверенный». Для полноценной проверки зона должна быть подписана, а доверие — подтверждаться по цепочке DNSSEC.
Кому это полезно¶
| Кому | Что меняется |
|---|---|
| Пользователям | Дополнительная защита от подмены DNS-ответов при обращении к подписанным доменам |
| Системным администраторам | Можно проверять ГОСТ-2012 DNSSEC штатной службой НАЙС.ОС без отдельной пользовательской программы |
| Организациям с российской криптографией | Возможность включать ГОСТ-2012 в инфраструктуру доверенной DNS-адресации наряду с другими поддерживаемыми алгоритмами |
| Владельцам подписанных DNS-зон | Совместимость с клиентами НАЙС.ОС, у которых установлен нужный выпуск и включена проверка |
Что почитать дальше¶
- Объяснение RFC 9558 простыми словами — DNS, DNSSEC и смысл электронной подписи.
- Практическая польза для пользователей и организаций — реальные сценарии и ограничения.
- Настройка для системного администратора — безопасное включение и откат.
- Как убедиться, что DNSSEC работает — понятная проверка результата.
- Частые вопросы — КриптоПро, обычные сайты, HTTPS, старый ГОСТ.
Где реализована функция¶
Поддержка относится к проверке ответов DNS через systemd-resolved. На конкретном устройстве её доступность зависит от установленного обновления НАЙС.ОС и сетевой конфигурации. Перед использованием проверьте системный пакет, режим DNSSEC и результаты контрольного запроса по руководству администратора.
Первоисточники¶
- RFC 9558 — описание ГОСТ-2012 в DNSSEC, апрель 2024 года.
- RFC 4033 — назначение и принципы DNSSEC.
- IANA: алгоритмы DNSSEC — официальные номера.
- RFC 9906 — прекращение применения устаревшего ГОСТ-2001 в DNSSEC.
Важное уточнение о стандарте
RFC 9558 — опубликованный информационный документ (Informational), а не обязательный для всех международный стандарт. Поддержка соответствующего алгоритма у разных DNS-программ может различаться. Наличие реализации не является подтверждением сертификации средства криптографической защиты.