Yükleniyor
DNSSEC anahtar degisimi sirasinda alan adinizin dunya genelinde cozulemez (BOGUS) hale gelmesini engelleyin. Cift-DS ve Cift-KSK guvenlik pencerelerini hesaplayarak BIND, Knot ve PowerDNS uzerinde kesintisiz gecis yapin.
RFC 6781 ve RFC 7583 standartlarina uygun guvenli cift-DS gecis planini yapilandirin.
Yeni DS parent zone'a eklendiginde, eski DS en az 1 tam parent TTL suresi boyunca yerinde kalmalidir. Bu bekleme yapilmadan eski DS silinirse, eski onbellegi tutan resolverlar domaini BOGUS olarak isaretler.
Dunya genelindeki recursive resolverlarin DNSSEC onbelleklerini tazeleyebilmesi icin bu siralamaya harfiyen uyulmalidir.
Yeni ECDSA Curve P-256 with SHA-256 anahtari uretilir. Hem eski hem yeni KSK ayni anda zone dosyasinda yayinlanir (Double-KSK).
Dunya genelindeki tum recursive resolverlarin yeni KSK anahtarini onbelleklerine almasi icin beklenir.
CDS/CDNSKEY kayitlari zone'a eklendi. TLD registry (TRABIS/Verisign) otomatik olarak yeni DS kaydini parent zone'a cekecektir.
Yeni DS kaydinin dunya genelindeki resolverlar tarafindan benimsenmesi icin parent zone DS TTL suresi kadar beklenir.
Artik tum resolverlar yeni DS ve KSK ile dogrulama yapabildigi icin eski DS kaydi parent zone'dan silinir.
Eski DS kaydina ait son onbellek kalintilarinin temizlenmesi icin bir parent DS TTL suresi daha beklenir.
Rollover ve kriptografik gecis sifir kesinti ile basariyla tamamlandi. Eski KSK artik guvenle silinebilir.
Registrara eklenecek DS kayitlari ve DNS sunucusu yonetim komutlari.
kurumsal-alanadi.com. 86400 IN DS 23719 13 2 49FD46E6C4B45C55D4AC4F12D7344917F42013F7C12F2F2494E34F7F5AC0D0F1
kurumsal-alanadi.com. 3600 IN CDS 23719 13 2 49FD46E6C4B45C55D4AC4F12D7344917F42013F7C12F2F2494E34F7F5AC0D0F1
# BIND 9 KSK Rollover Baslatma (rndc) rndc dnssec -rollover -key 23719 kurumsal-alanadi.com rndc loadkeys kurumsal-alanadi.com
Cloudflare, Route 53 ve BIND arasinda Active-Active Multi-Signer DNSSEC planlamasi.
CAA, BIMI, DMARC ve HTTP/3 HTTPS/SVCB kayitlarini otomatik olusturun.
TTL dusurme takvimi ve sunucu tasima sirasinda sifir kesinti protokolleri.
DNSSEC, DNS yanitlarinin degistirilmesini ve DNS Cache Poisoning (zehirleme) saldirilarini onlemek icin kriptografik imzalama kullanir. Ancak bu kriptografik zemin, yapilandirma hatalarina karsi son derece acimasizdir: Eger bir alan adinin Key Signing Key (KSK) anahtari yanlis bir zamanlamayla degistirilirse, dunya genelindeki Google DNS (8.8.8.8), Cloudflare (1.1.1.1) ve kurumsal recursive resolverlar alan adinin imzasini dogrulayamaz ve etki alanini SERVFAIL (BOGUS) olarak isaretler. Bu durum, tum web sitesinin, API'larin ve kurumsal e-postalarin dunya genelinde erisilemez hale gelmesine sebep olur.
RFC 6781 tarafindan tanimlanan Double-DS protokolunde; yeni KSK anahtari olusturuldugunda olusan yeni DS kaydi alan adi yazmanina (Registrar / TRABIS) eklenir fakat eski DS kaydi kesinlikle silinmez. Dunya genelindeki onbelleklerin yeni kaydi ogrenmesi icin parent zone DS TTL suresi kadar (tipik olarak 24 saat + guvenlik payi = 36 saat) beklenir. Ancak bu sure dolduktan sonra eski DS silinir.
Geleneksel RSA/SHA-256 (Algoritma 8) 2048-bit anahtarlar kullandigi icin 256 baytlik buyuk RRSIG imzalari uretir. Bu durum standart 512 baytlik UDP DNS yanitlarini tasirarak TCP fallback veya IP paket parcalanmasina yol acar. Modern Algoritma 13 (ECDSA P-256) ise yalnizca 64 bayt imza boyutuyla %75 paket tasarrufu saglar ve DNS amplification DDoS saldirilarina alet olma riskini en aza indirir.
ZSK (Zone Signing Key) dogrudan alan adinizin kayitlarini (A, MX, TXT) imzalar ve parent registry ile baglantisi yoktur. Bu nedenle ZSK degisimi yalnizca kendi DNS sunucunuzda Pre-Publish mantigiyla yapilir, registrar panelinde hicbir islem gerektirmez.KSK (Key Signing Key) ise ZSK anahtarini imzalar ve guvenlik zincirini TLD'ye baglayan DS kaydini olusturur; bu nedenle KSK degisimi mutlaka parent zone (Registrar / Registry) eszamanlamasi gerektirir.
Modern DNSSEC yonetiminde insan hatasini onlemek icin RFC 7344 CDS (Child DS) standardi gelistirilmistir. Zone dosyaniza CDS kayitlari eklendiginde; TRABIS (.tr), Verisign (.com) veya modern kayit kuruluslari periyodik olarak bu kayitlari sorgular ve DS kayitlarini kullanici mudahalesi olmadan otomatik olarak gunceller.