DNSSEC, lo que firma y lo que no

Con DNSSEC el dueño de una zona firma sus registros con una clave y publica la parte pública (registro DNSKEY); cada conjunto de registros lleva su firma (RRSIG). Un resolutor que valida comprueba esas firmas y, si cuadran, marca la respuesta como auténtica con el bit AD. Así se detecta una respuesta falsificada o alterada por el camino.

Lo que DNSSEC no hace es ocultar la pregunta ni la respuesta: cualquiera que vea el tráfico las lee igual. Tampoco protege el contenido de la página a la que lleva el nombre. Es autenticidad e integridad de la respuesta DNS, nada más.

Una firma sola no basta: el resolutor necesita un motivo para fiarse de la clave de la zona. Lo encuentra en la zona padre, que publica un registro DS con la huella de la clave de la hija; el padre está firmado por su propio padre, y así hasta la raíz. Esa es la cadena de confianza.

Si una zona está firmada pero su DS no está publicado en el padre, la cadena no existe. Los resolutores la tratan como una zona sin firmar: no hay error, pero la protección no se aprovecha y nadie se entera.

Consulta zonas y cruza firmada con ds_en_la_zona_padre.

Las firmas tienen fecha de vencimiento, y por buenas razones: limitan el tiempo en que una firma robada o repetida sirve. La contrapartida es operativa: si nadie las renueva a tiempo, la zona sigue publicada pero con firmas vencidas, y para un resolutor que valida esa respuesta ya no es de fiar.

El informe es del 10 de mayo de 2027. Compara esa fecha con la columna firmas_vencen.

Una zona vencida se nota solo donde se valida. Un resolutor que valida devuelve un error de servidor (SERVFAIL) cuando la firma no cuadra: el nombre deja de resolverse. Un resolutor que no valida entrega la respuesta sin comprobar nada, y el problema pasa desapercibido; pero entonces tampoco detectaría una respuesta falsificada.

Mira pruebas y validacion y piensa quién se comportó como quien no valida.

El nombre de la zona de logística falla en el resolutor que valida. La reacción tentadora de quien recibe las quejas es apagar la validación para que todo «funcione». Eso resuelve la queja y quita justo la protección que se había instalado.