KSK (Key Signing Key)

Co je Key Signing Key (KSK)?

Key Signing Key (KSK) je specializovaný kryptografický klíč používaný v rámci DNSSEC (Domain Name System Security Extensions) k podepisování a ověřování klíčů, které chrání DNS záznamy. Jeho hlavní úlohou je podepsat Zone Signing Key (ZSK), který následně podepisuje samotná DNS data. Oddělením těchto funkcí vytváří KSK bezpečný řetězec důvěry, který zajišťuje, že s DNS informacemi nelze během přenosu manipulovat ani je padělat.

KSK je základním kamenem hierarchie důvěry v DNSSEC. Pomáhá vytvořit ověřitelné spojení mezi DNS zónou domény a její nadřazenou zónou prostřednictvím mechanismu zvaného DS záznam (Delegation Signer). Toto propojení umožňuje resolverům potvrdit, že DNS odpovědi pocházejí z legitimních zdrojů a nebyly cestou pozměněny.

Jak Key Signing Key funguje

DNSSEC zavádí do DNS kryptografii s veřejným klíčem a vytváří dva typy klíčů, které spolupracují:

• Zone Signing Key (ZSK): podepisuje jednotlivé DNS záznamy (například A, MX, TXT) v souboru zóny.
• Key Signing Key (KSK): podepisuje veřejnou část ZSK, aby ověřil sadu klíčů dané zóny.

Když resolver provádí DNS dotaz, ověřuje odpověď pomocí digitálních podpisů. Řetězec důvěry probíhá v této posloupnosti:

• ZSK podepisuje DNS data.
• KSK podepisuje veřejný klíč ZSK (v záznamu DNSKEY).
• Nadřazená zóna zveřejňuje DS záznam odkazující na otisk KSK.

Resolvery ověřují DNS odpovědi porovnáním podpisu KSK s DS záznamem v nadřazené zóně. Pokud je řetězec neporušený, považuje se odpověď za autentickou a nepozměněnou.

Příklad DNSSEC záznamů klíčů:

Správa a rotace KSK

Protože KSK ukotvuje důvěru zóny, musí být pečlivě chráněn a rotován pomocí řízených postupů. Kompromitovaný nebo expirovaný KSK by mohl narušit rozlišování DNS nebo umožnit útočníkům vydávat se za domény.

Osvědčené postupy pro správu klíčů zahrnují:

• používání silných kryptografických algoritmů, jako je RSA nebo ECDSA,
• bezpečné ukládání KSK, často offline nebo v hardwarových bezpečnostních modulech (HSM),
• pravidelnou rotaci KSK pro zachování integrity zabezpečení,
• aktualizaci DS záznamu v nadřazené zóně vždy, když se zavádí nový KSK,
• testování ověřování DNSSEC po každé rotaci.

Internet Assigned Numbers Authority (IANA) spravuje kořenový KSK pro globální hierarchii DNS. Pravidelné výměny klíčů jsou celosvětově oznamovány a koordinovány, aby byla zachována kontinuita důvěry napříč všemi DNS resolvery.

KSK a ověřování e-mailu

Ačkoli KSK působí v rámci DNSSEC, jeho přínosy pro zabezpečení se rozšiřují i na DKIM, SPF a DMARC, protože zajišťuje, že DNS záznamy, na kterých tyto protokoly závisejí, nelze padělat ani upravit. Když je DNSSEC správně nasazen, útočníci nemohou podvrhnout ověřovací data ani manipulovat s DNS TXT záznamy obsahujícími klíče SPF nebo DKIM.

Tato integrita je klíčová pro domény, které publikují ověřovací politiky v DNS, protože zabraňuje zachycení nebo úpravě konfigurací ověřování, což je jeden z hlavních cílů zabezpečené e-mailové infrastruktury.

Key Signing Key a DMARCeye

DMARCeye využívá signály ověření DNSSEC, včetně integrity KSK, k lepšímu přehledu o důvěře na úrovni domény. Ověřením, že jsou ověřovací záznamy publikovány v kryptograficky zabezpečených DNS zónách, platforma zajišťuje, že konfigurace SPF, DKIM a DMARC jsou nejen správné, ale také chráněné před manipulací.

DMARCeye upozorňuje administrátory na problémy s DNSSEC, jako jsou chybějící DS záznamy, expirované klíče nebo nepodepsané zóny, které by mohly oslabit celkovou úroveň ověřování e-mailu domény. Sledování zdraví KSK pomáhá udržovat důvěryhodný základ DNS, který podporuje spolehlivé zabezpečení e-mailu a ochranu značky.

Vyzkoušejte DMARCeye zdarma a zabezpečte svou e-mailovou doménu.

Chcete-li se dozvědět více o DMARC a souvisejících pojmech, prozkoumejte Slovník pojmů DMARCeye.