Belajar DNS - DNSSEC: Signing Zone (Authoritative)

#Pendahuluan

Selama ini klien DNS hanya bisa percaya begitu saja pada jawaban yang datang. DNSSEC mengubah itu: setiap record ditandatangani secara kriptografi, sehingga penerima bisa memverifikasi bahwa jawaban benar-benar berasal dari pemilik zone dan tidak diubah di tengah jalan.

Episode 13 membahas sisi Authoritative: konsep KSK dan ZSK, algoritma tanda tangan, record DNSSEC, praktik penandatanganan dengan pdnsutil, dan cara mempublikasikan DS ke registrar. Di episode 14 kita akan melihat sisi verifikasinya di Recursor.

#Konsep DNSSEC

#KSK dan ZSK

DNSSEC memakai dua lapis kunci:

• KSK (Key Signing Key): kunci jangka panjang yang menandatangani kunci lain (DNSKEY). Keamanannya dijaga ekstra ketat.
• ZSK (Zone Signing Key): kunci jangka pendek yang menandatangani semua record biasa. Sering dirotasi karena sering dipakai.

KSK menandatangani DNSKEY
ZSK menandatangani record (RRSIG)
DS menghubungkan zone ke parent

Pemisahan ini memungkinkan ZSK dirotasi sering tanpa mengubah DS yang dipublikasikan ke registrar, sementara KSK jarang dirotasi.

#Algoritma yang Didukung

PowerDNS mendukung RSA dan kurva elips:

• RSA (rsasha256, algoritma 8): paling luas dukungannya, cocok untuk interoperabilitas.
• ECDSA P-256 (ecdsap256sha256, algoritma 13): tanda tangan lebih pendek dan CPU lebih ringan, menjadi default modern.

#Records DNSSEC

#DNSKEY, RRSIG, DS, NSEC, NSEC3

DNSSEC menambah lima jenis record:

• DNSKEY: kunci publik zone.
• RRSIG: tanda tangan digital dari satu RRset.
• DS (Delegation Signer): sidik jari KSK yang dipublikasikan ke parent zone — penghubung rantai kepercayaan.
• NSEC/NSEC3: membuktikan bahwa sebuah nama memang tidak ada, mencegah pemalsuan jawaban NXDOMAIN.

dig @127.0.0.1 example.com DNSKEY +noall +answer +multiline
dig @127.0.0.1 example.com SOA +dnssec +noall +answer

dig +dnssec menampilkan record beserta RRSIG-nya. Kalian akan melihat flags pada DNSKEY: 257 menandai KSK, 256 menandai ZSK.

#Menandatangani Zone di PowerDNS

#pdnsutil secure-zone

Menandatangani zone sesederhana satu perintah:

pdnsutil secure-zone example.com
pdnsutil show-zone example.com

pdnsutil secure-zone membuat KSK dan ZSK lalu menandatangani seluruh zone. pdnsutil show-zone menampilkan detail kunci, serial, dan DS record yang harus dipublikasikan. Untuk memaksa algoritma tertentu:

pdnsutil secure-zone example.com ecdsap256sha256

#Rotasi Key

Key yang dipakai terus-menerus harus dirotasi. Rotasi ZSK dilakukan rutin, sedangkan rotasi KSK jarang dan terencana karena melibatkan perubahan DS di parent:

pdnsutil add-zone-key example.com zsk ecdsap256sha256 active
pdnsutil remove-zone-key example.com <key-id-lama>
pdnsutil rectify-zone example.com

pdnsutil add-zone-key menambahkan ZSK baru dalam keadaan aktif, lalu kunci lama dihapus setelah tanda tangannya tidak lagi dipakai.

#Publikasi DS dan Mode Signing

#Mempublikasikan DS ke Registrar

Agar rantai kepercayaan utuh, DS record harus dipublikasikan ke parent zone melalui registrar:

pdnsutil show-zone example.com
pdnsutil export-ds example.com

pdnsutil export-ds example.com menampilkan DS record yang kalian salin ke panel registrar. Tanpa DS ini, validator tidak punya titik pijak untuk memverifikasi zone kalian.

#Pre-signed vs Online Signing

PowerDNS mendukung dua mode penandatanganan:

• Pre-signed: record ditandatangani saat perubahan terjadi, lalu disimpan. Perubahan jarang cocok untuk mode ini.
• Online signing: tanda tangan dibuat saat query masuk, memakai HSM/PKCS#11 untuk menyimpan kunci secara aman. Perubahan sering dan zona besar memakai mode ini.

pdnsutil set-zone-option example.com NSEC3NARROW 1

Mode dipilih per zone melalui pdnsutil set-zone-option. Pemeliharaan tanda tangan (resign) dilakukan otomatis berdasarkan default-signing-ttl.

#Penutup

Episode 13 membuat zone kalian bisa diverifikasi: memahami KSK/ZSK dan algoritma, membaca DNSKEY, RRSIG, DS, dan NSEC, menandatangani zone dengan pdnsutil secure-zone, merotasi kunci, dan mempublikasikan DS ke registrar.

Inti yang harus dibawa pulang:

• KSK menandatangani DNSKEY; ZSK menandatangani semua record; DS menghubungkan ke parent.
• ECDSA P-256 adalah default modern; RSA untuk interoperabilitas luas.
• pdnsutil secure-zone menandatangani zone; export-ds menghasilkan DS untuk registrar.
• Rotasi ZSK rutin, rotasi KSK jarang dan terencana.
• Pre-signed untuk perubahan jarang; online signing dengan HSM untuk perubahan sering.

Di episode 14 selanjutnya kita akan membahas DNSSEC: validation di sisi Recursor — mengaktifkan dnssec: process, bootstrap trust anchors dari IANA, pengujian dengan dig +dnssec, membaca flag AD, manajemen trust anchor, dan penanganan zone unsigned atau signature yang rusak.