Что получает пользователь и организация¶

Для пользователя: привычная работа с дополнительной проверкой¶

Работа с ресурсами остаётся такой же: вы открываете браузер, электронную почту или рабочее приложение и вводите адрес. Если системная проверка DNSSEC настроена администратором и домен корректно подписан, НАЙС.ОС может установить, что DNS-ответ не был подменён.

Пример. Сотрудник открывает корпоративный портал по доменному имени. Для его зоны опубликованы DNSSEC-подписи, созданные по ГОСТ-2012. НАЙС.ОС, при включённой проверке DNSSEC и наличии доверенной цепочки, подтверждает подлинность полученного адреса. Если злоумышленник подменит подписанные данные, проверка обнаружит несоответствие.

В обычной ситуации сообщения об этой работе не появляются — дополнительных действий пользователя не требуется. При отказе проверки приложение может показать ошибку поиска доменного имени, а не отдельное предупреждение «ГОСТ».

Для системного администратора: единая системная функция¶

Поддержка находится в штатной службе systemd-resolved. Администратору не нужно устанавливать отдельную браузерную надстройку, чтобы эта служба могла проверять ГОСТ-2012-подписи.

Преимущества для эксплуатации:

единый механизм разрешения имён и DNSSEC для использующих его системных приложений;
возможность централизованно включать строгую проверку там, где готова инфраструктура DNS;
работа как с ГОСТ-2012, так и с другими алгоритмами, уже поддерживаемыми установленной системой;
диагностика через привычные средства НАЙС.ОС: resolvectl и системный журнал;
управление настройками стандартными конфигурационными файлами, без изменений пользовательских приложений.

Для организаций: совместимость с национальными криптографическими алгоритмами¶

Дополнение особенно актуально для организаций, которые уже применяют ГОСТ и развивают доверенную инфраструктуру DNS: корпоративные сети, отраслевые системы, российские программно-аппаратные комплексы, распределённые информационные сервисы.

Возможность полезна при внедрении DNSSEC у собственных доменов и при подключении к зонам партнёров, использующих ГОСТ-2012. Она не гарантирует совместимость со всеми DNS-провайдерами и продуктами: алгоритм должен поддерживаться в каждом необходимом звене инфраструктуры, а подписанная зона должна иметь корректную цепочку доверия.

Когда защита действительно работает¶

Нужны все условия одновременно:

На устройстве установлена сборка НАЙС.ОС с поддержкой RFC 9558.
Для разрешения имени используется systemd-resolved с включённой DNSSEC-проверкой.
DNS-сервер и сеть позволяют передавать необходимые записи DNSSEC.
Доменная зона подписана и имеет проверяемую цепочку доверия; для ГОСТ-2012 используется профиль RFC 9558.
В системе правильно установлены дата и время: срок действия DNSSEC-подписей ограничен.

Если домен вообще не подписан, НАЙС.ОС не может превратить его ответ в подтверждённый одной лишь настройкой. DNSSEC также не исправляет ошибочные данные, которые сам владелец зоны подписал.

Как не завышать ожидания¶

Вопрос	Ответ
Все сайты станут безопасными?	Нет, DNSSEC защищает конкретный этап поиска доменного адреса у корректно подписанных зон
Будет скрыто, какие сайты я посещаю?	Нет, RFC 9558 не шифрует DNS-трафик
Исчезнет риск фишинга?	Нет, похожие домены и вредоносные сайты могут иметь корректные DNSSEC-подписи
Потребуется дополнительный токен или сертификат сотрудника?	Нет, для проверки DNSSEC пользователю не нужен личный ключ подписи
Можно использовать другие алгоритмы DNSSEC?	Да, поддержка ГОСТ-2012 дополняет существующие алгоритмы валидатора

Как включить функцию · Как её проверить