ZSK (Zone Signing Key)

Co je to Zone Signing Key (ZSK)?

Zone Signing Key (ZSK) je kryptografický klíč používaný v DNSSEC (Domain Name System Security Extensions) k digitálnímu podpisu jednotlivých DNS záznamů v konkrétní zóně DNS.

ZSK zajišťuje, že když někdo provede DNS lookup, lze informace vrácené z dané zóny ověřit jako autentické a nezměněné. Je součástí systému digitálních podpisů, který udržuje DNS zabezpečený a brání útočníkům ve vkládání nepravdivých dat.

Jaká je role ZSK v DNSSEC?

DNSSEC používá k udržení důvěry a ověření autenticity dva typy klíčů: Zone Signing Key (ZSK) a Key Signing Key (KSK). ZSK je zodpovědný za podepisování samotných zdrojových DNS záznamů, jako jsou položky A, MX, TXT a NS.

Když je proveden DNS dotaz, resolver zkontroluje digitální podpis vytvořený klíčem ZSK oproti odpovídajícímu veřejnému klíči, který je publikován v záznamu DNSKEY zóny. Pokud se podpis shoduje, potvrzuje to, že data nebyla pozměněna.

ZSK je obvykle kratší a rotuje se častěji než KSK, protože přímo podepisuje veškerá aktivní DNS data v zóně. KSK naproti tomu podepisuje pouze ZSK a začleňuje jej do širšího řetězce důvěry DNSSEC.

Správa a rotace ZSK

Správná správa klíčů Zone Signing Key je zásadní pro udržení zabezpečené a nepřerušované služby DNS. Protože se ZSK pravidelně používá k podepisování záznamů, může se stát cílem útočníků. Jeho rotace podle pravidelného harmonogramu minimalizuje riziko kompromitace klíče a pomáhá udržovat zdravou kryptografickou kondici.

Pokud se ZSK změní, musí být nový klíč publikován v záznamu DNSKEY zóny dříve, než je starý vyřazen. To zajišťuje, že resolvery mohou nadále ověřovat podpisy bez přerušení. K bezpečnému zvládnutí těchto rotací se často používají automatizace a nástroje s podporou DNSSEC.

ZSK a DMARCeye

Zatímco DMARCeye se zaměřuje na ověřování e-mailů, nikoli na správu DNSSEC, spoléhá se na přesná a zabezpečená DNS data. Přítomnost platného ZSK pomáhá zaručit, že záznamy jako SPF, DKIM a DMARC nelze pozměnit na úrovni DNS.

Sledováním ověřovacích dat a analýzou integrity DNS poskytuje DMARCeye jistotu, že ochranná opatření vaší domény stojí na důvěryhodném základu DNS zabezpečeném klíči, jako je ZSK.