Что такое RFC 9558 и зачем он нужен¶
Сначала — о DNS¶
Когда вы набираете адрес сайта, например portal.example, компьютеру нужно узнать, к какому сетевому адресу обращаться. Эту задачу решает DNS — система доменных имён. Она напоминает адресную книгу Интернета: по понятному имени выдаёт сведения, необходимые для подключения.
Если злоумышленник сможет заменить DNS-ответ, программа может попробовать подключиться не к тому серверу. Современные браузеры и приложения используют и другие проверки, в том числе HTTPS, но подмена DNS остаётся нежелательной и может приводить к ошибкам, отказам и попыткам перенаправления пользователя.
Как помогает DNSSEC¶
DNSSEC — расширение DNS, позволяющее подтверждать подлинность и целостность DNS-записей при помощи цифровых подписей.
Представьте, что ответ DNS сопровождается не обычной печатью, а проверяемой электронной подписью. Компьютер сопоставляет подпись с данными, проверяет открытый ключ и цепочку доверия. Если данные были незаметно подменены, подпись не сойдётся.
Последовательность выглядит так:
- Вы открываете нужный ресурс по доменному имени.
- НАЙС.ОС запрашивает сведения о домене через настроенную службу DNS.
- Для зоны с DNSSEC система получает необходимые записи и подписи.
- Служба
systemd-resolvedпроверяет подпись и цепочку доверия, если DNSSEC включён. - Если ответ прошёл проверку, он может использоваться приложением. Если строгая проверка не прошла, ответ отвергается.
Важно: DNSSEC проверяет происхождение и неизменность DNS-данных, но не скрывает сами запросы от наблюдателя и не шифрует трафик сайта.
Что именно описывает RFC 9558¶
RFC — это опубликованный документ, описывающий определённые правила взаимодействия программ и сетей. В апреле 2024 года опубликован RFC 9558, в котором объяснено, как применять отечественные криптографические алгоритмы поколения 2012 года для DNSSEC.
В нём определены три связанные части:
| Запись | Что содержит | Что даёт на практике |
|---|---|---|
| DNSKEY | Открытый ключ доменной зоны | Система знает, каким ключом проверять подпись |
| RRSIG | Подпись набора DNS-записей | Можно обнаружить изменение подписанных данных |
| DS | Сведения для подтверждения связи с вышестоящей зоной | Можно выстроить цепочку доверия между зонами |
Для электронной подписи используется ГОСТ Р 34.10-2012, для вычисления отпечатка — ГОСТ Р 34.11-2012 («Стрибог»). RFC 9558 использует вариант подписи на 256 бит и установленный набор параметров. Разработчику эти подробности нужны для совместимости программ; пользователю достаточно знать, что НАЙС.ОС распознаёт именно этот современный профиль ГОСТ в DNSSEC.
Почему не хватало обычного DNSSEC¶
DNSSEC может использовать разные алгоритмы. Если система не умеет работать с определённым алгоритмом подписи, она не сможет криптографически проверить такую подпись даже при наличии общей поддержки DNSSEC. Поэтому поддержка ГОСТ-2012 должна быть реализована на уровне проверяющей службы.
В НАЙС.ОС эта возможность добавлена в systemd-resolved. При работе с подписанной соответствующим образом зоной служба может выполнить проверку без участия пользователя.
Чем отличается от старого ГОСТ¶
Ранее для DNSSEC был описан ГОСТ образца 2001 года. В ноябре 2025 года RFC 9906 исключил его из рекомендуемого применения. ГОСТ-2012 из RFC 9558 — другой алгоритм; это не переименование прежнего. При переходе старых DNS-зон администратору требуется отдельное планирование смены ключей.
Что RFC 9558 не делает¶
- Не заменяет HTTPS, VPN, электронные подписи документов или средства защиты от вредоносных сайтов.
- Не гарантирует подлинность страниц, если сам настоящий сервер уже скомпрометирован.
- Не подписывает домен автоматически: подписи должен публиковать владелец DNS-зоны.
- Не требует от рядового пользователя установки КриптоПро.
- Не обязывает все существующие DNS-серверы использовать ГОСТ-2012.