DNS y seguridad DNS (DNSSEC)

El DNS (Domain Name System) es la infraestructura que traduce los nombres de dominio que escribe una persona a las direcciones IP con las que trabajan las máquinas. Se apoya en una jerarquía de servidores, de la raíz a los dominios de primer nivel y de ahí a los servidores autoritativos de cada dominio, y es la primera consulta que hace casi cualquier conexión.

Esa consulta nació sin protección, así que una respuesta falsificada bastaba para llevar a un usuario a un sitio que no era el suyo. DNSSEC (DNS Security Extensions) es lo que lo corrige: firma criptográficamente los datos de la zona y encadena la confianza desde la raíz.

Que la extensión exista no quiere decir que esté puesta. Su adopción sigue siendo desigual, y la gestión de las claves y sus rotaciones es la parte que se atasca en un parque real.

DNSSEC no firma las respuestas sobre la marcha. Firma los datos de una zona: cada conjunto de registros (un RRset) se firma con la clave de la zona, y esas firmas se calculan de antemano y se publican junto a los registros. La confianza baja desde la raíz: una zona padre publica un registro delegation signer que avala la clave de la hija, y así se forma una cadena que un resolutor puede seguir desde la raíz hasta el nombre que está buscando. Quien comprueba todo esto es el resolutor validador, no el cliente final, que se apoya en el veredicto del resolutor. El efecto es que una respuesta manipulada o falsificada no supera la validación y se rechaza, lo que cierra el envenenamiento de caché y las respuestas falsas.

El malentendido más caro del mercado es creer que DNSSEC cifra el DNS. No lo hace. Demuestra que una respuesta es auténtica; no hace nada por esconder la consulta, así que quien observe el camino sigue viendo exactamente qué nombres se están resolviendo. La confidencialidad es un control aparte que dan DNS over HTTPS, DNS over TLS o DNS over QUIC. Desde el lado del atacante, un parque que desplegó DNSSEC creyendo que protege la privacidad ha filtrado igual sus consultas, y uno que se lo saltó del todo sigue abierto a los ataques de respuesta falsificada que habilitan el secuestro de DNS. El despliegue tampoco es parejo: firmar una zona no ayuda a nadie si los resolutores no validan.

Comprobamos las dos mitades por separado: si la zona está firmada y la cadena de confianza está intacta, y si los resolutores validan, porque una zona firmada con resolutores que no validan no le da integridad a nadie. También dejamos constancia de que DNSSEC no es un control de confidencialidad y señalamos dónde viajan las consultas en claro cuando la privacidad es un requisito. DNSSEC usa la misma maquinaria de firma digital que el resto de la criptografía de clave pública. Esto forma parte de cómo comprobamos la integridad del DNS en el perímetro.