Частые вопросы о ГОСТ DNSSEC в НАЙС.ОС¶
Нужно ли пользователю что-то устанавливать?¶
Как правило, нет. Если администратор установил выпуск НАЙС.ОС с поддержкой RFC 9558, включил DNSSEC и правильно настроил сеть, проверка выполняется системной службой. В браузере и офисных программах отдельной кнопки «ГОСТ DNSSEC» нет.
Для этого требуется КриптоПро или аппаратный токен?¶
Нет. Для проверки DNSSEC-подписей в подготовленной сборке НАЙС.ОС используется системная криптографическая библиотека. Личный сертификат сотрудника и токен не нужны. Возможности КриптоПро по электронному документообороту — отдельная задача.
В чём разница между DNSSEC, HTTPS и защищённым DNS?¶
- DNSSEC проверяет подлинность и целостность подписанных DNS-данных.
- HTTPS защищает соединение с веб-сайтом, включая проверку его серверного сертификата.
- DNS-over-TLS/DNS-over-HTTPS применяются для шифрования передачи DNS-запросов. Они не являются заменой криптографической проверке DNSSEC.
В реальной инфраструктуре могут использоваться сразу несколько механизмов.
Все DNS-ответы будут проверяться по ГОСТ?¶
Нет. Алгоритм зависит от того, чем подписана DNS-зона. Если зона использует другой поддерживаемый алгоритм DNSSEC, проверка выполняется этим алгоритмом. Если зона не подписана, проверять ГОСТ-подпись нечего.
Почему сайт перестал открываться после DNSSEC=yes?¶
Строгая проверка могла обнаружить повреждённую подпись, истёкший срок её действия, ошибки делегирования или проблемы прохождения DNSSEC-данных через сеть. Также возможны неверное системное время, особенности внутренней DNS-зоны или некорректная работа промежуточного DNS-сервера. Проверьте порядок диагностики и настройки DNS перед тем, как отключать защиту.
Можно ли оставить allow-downgrade?¶
Этот режим обеспечивает большую совместимость в сетях, где DNSSEC доступен не всегда, но может автоматически отказаться от проверки. Он не равнозначен строгому DNSSEC=yes и не подходит в качестве единственного подтверждения обязательной DNSSEC-проверки. Режим выбирается политикой информационной безопасности организации.
Защитит ли DNSSEC от поддельного сайта?¶
DNSSEC помогает обнаруживать подмену DNS-данных в корректно подписанной зоне. Он не обнаруживает похожие написания адресов, фишинговые сайты с собственными доменами, вредоносное содержимое и компрометацию настоящего сервера. Поэтому обновления, HTTPS и обычные меры защиты остаются необходимыми.
В НАЙС.ОС используется старый алгоритм ГОСТ-2001?¶
Реализация по RFC 9558 относится к ГОСТ-2012 — новому профилю с алгоритмом DNSSEC 23. Старый ECC-GOST имел номер 12 и выведен из применения RFC 9906. Не следует путать эти варианты.
RFC 9558 обязывает все DNS-программы поддерживать ГОСТ?¶
Нет. RFC 9558 опубликован в категории Informational, и его поддержка в DNSSEC-системах необязательна. Поэтому инфраструктуру и программные версии необходимо проверять на совместимость.
НАЙС.ОС теперь умеет подписывать DNS-зоны по ГОСТ-2012?¶
Этого утверждать нельзя только на основании поддержки systemd-resolved. Представленная функция выполняет проверку, а не создание подписей зон. Для подписания потребуются отдельно подобранное серверное DNS-ПО, совместимая криптографическая реализация и собственная процедура управления ключами.
Означает ли поддержка ГОСТ наличие сертификации ФСБ или ФСТЭК?¶
Нет. Реализация общедоступного алгоритма и сертификация конкретного средства защиты — разные вопросы. Сведения о сертификации необходимо подтверждать отдельными действующими документами.