Capire il ruolo dei record DNS nella funzionalità e nella sicurezza dei siti web

Introduzione

DNS è l'acronimo di Domain Name System (Sistema dei nomi di dominio). Si tratta di una tecnologia fondamentale per il funzionamento di Internet. La sua definizione più elementare è: "Il DNS è responsabile della risoluzione degli indirizzi IP dei siti web ai loro nomi di dominio".

In realtà, il DNS è in grado di fare molto di più. Le funzioni del DNS vengono svolte con l'aiuto dei record DNS. I record DNS sono file di testo che contengono informazioni essenziali per il funzionamento del DNS.

Questo articolo sottolinea l'importanza dei record DNS per il funzionamento e la sicurezza dei siti web. A tal fine, esamineremo vari tipi di record DNS e spiegheremo la loro funzione per quanto riguarda il funzionamento o la sicurezza del sito web.

Alla fine di questo articolo, avrete una prospettiva migliore sul sistema dei nomi di dominio.

Come funziona il DNS?

Per comprendere i record DNS e il loro ruolo nel funzionamento e nella sicurezza dei siti web, è necessario avere una certa conoscenza del sistema dei nomi di dominio (DNS).

Tutto ha inizio con il computer. Il computer, che sta cercando un sito web, è chiamato client. Il client invia la sua richiesta a un server noto come resolver DNS. Il resolver DNS è un server assegnato dal vostro ISP, oppure potete impostare il vostro nelle impostazioni del sistema operativo. La funzione del resolver è quella di gestire tutte le query DNS poste dal client.

Quindi. Il cliente chiede al resolver: "Ehi, voglio trovare questo nome di dominio (xyz.com). Conoscete il suo indirizzo IP?". Il resolver controlla la sua cache per vedere se ha memorizzato il nome di dominio e il suo IP. In caso contrario, contatta una serie di server nella gerarchia DNS per verificare se dispongono dell'indirizzo IP.

Immagine della gerarchia DNS

Fonte: https://www.menandmice.com/glossary/dns-server-types

Normalmente, l'indirizzo IP viene trovato in tempi relativamente brevi. Tuttavia, a volte il resolver deve andare fino in cima alla gerarchia e interrogare i server noti come root name server (NS).

Esistono 13 server dei nomi radice nel mondo, che contengono gli indirizzi IP di tutti i siti web presenti sul web. Se l'indirizzo IP di un dominio non esiste sui server dei nomi, significa che la query DNS per quel dominio è "non risolvibile".

In ogni caso, una volta trovato l'indirizzo IP, il resolver lo invia al client. Il client effettua quindi una richiesta al server all'indirizzo IP indicato e il server risponde con il sito web richiesto.

Ecco come funziona una semplice query e tutto questo avviene in pochi secondi. Dove entrano in gioco i record DNS? Le informazioni memorizzate su tutti i server della gerarchia DNS sono archiviate sotto forma di record DNS.

I record DNS possono essere gestiti da un webmaster utilizzando strumenti popolari come cPanel, Cloudflare, GoDaddy, ecc. Per sapere come gestire il vostro sito web con questi strumenti, leggete il nostro articolo su cPanel. Creare una documentazione dettagliata sulla gestione dei record DNS può richiedere molto tempo. Un generatore di paragrafi AI può aiutare a produrre contenuti informativi di alta qualità in modo efficiente, facilitando la spiegazione di concetti complessi in modo chiaro.

Vediamo ora come i record DNS aiutano e contribuiscono alla funzionalità del sito web.

I diversi record DNS e il loro contributo alla funzionalità del sito web

Inizieremo con il verificare i record che hanno un ruolo nel funzionamento del sito web. Questi sono più numerosi rispetto a quelli relativi alla sicurezza.

Tutti i record DNS condividono lo stesso modello. Da sinistra a destra, sono presenti il nome del dominio, il tempo di vita, la classe del record, il nome del record e il valore del record. La maggior parte dei record differisce solo per il nome e il valore. Di seguito è riportata un'immagine di un record A.

Fonte immagine: dnschecker

L'immagine mostra quattro record A per Microsoft.com. Il nome di dominio è "microsoft.com". Il TTL è di 1290 secondi, IN (internet) è la classe, A è il nome del record e i numeri sono l'indirizzo IPv4, cioè il valore.

Ora che sappiamo come si presenta un tipico record DNS, cerchiamo di capire cosa fanno e come contribuiscono alla funzionalità del sito web.

1. Registri A/AAAA

I record A e AAAA indicano rispettivamente gli indirizzi IPv4 e IPv6. Il loro unico scopo è quello di mappare gli indirizzi IP a un nome di dominio. Questa è la funzione più elementare del DNS ed è ciò che fa funzionare Internet.

L'indirizzo IP, come è noto, è una rappresentazione numerica (IPv4) o esadecimale (IPv6) della posizione di un server.

Tutti i contenuti del web sono memorizzati su numerosi server nel mondo. Quando si cerca un nome di dominio, il resolver DNS controlla la sua cache per trovare eventuali record A o AAAA per il dominio.

Se non li trova, interroga altri server nella gerarchia per vedere se li hanno o meno. Quando trova i record A/AAAA pertinenti, il resolver li salva nella sua cache, in modo da non doverli cercare in seguito.

A questo punto dovreste aver capito il ruolo dei record A/AAA per la funzione di sito web. Senza questi record, sarebbe impossibile individuare un sito web. Pertanto, la configurazione dei record A/AAA di un sito web è fondamentale per il suo funzionamento.

2. Record CNAME

I record CNAME non sono così critici come i record A/AAA, ma hanno un uso particolare. Un record CNAME assegna l'alias di un dominio a un altro. In parole più semplici, si può fare in modo che tutte le query DNS per un dominio vengano automaticamente inviate a un altro dominio.

Ad esempio, se si dispone di un dominio chiamato "cars.com" e di un altro dominio chiamato "vehicles.com", è possibile utilizzare un record CNAME per assegnare l'alias "cars.com" a "vehicles.com".

Ogni volta che qualcuno digita "cars.com" nella barra degli indirizzi del browser, si troverà automaticamente su "vehicles.com". Questo perché la query DNS per "cars.com" sarà soddisfatta da un record CNAME che fa riferimento al record A/AAAA di "vehicles.com".

È utile per i siti web che hanno più domini simili. Con i record CNAME, l'utente finale sarà sempre indirizzato al sito corretto. Quindi, se il vostro dominio si chiama "xyz.org", potete creare dei record CNAME per "www.xyz.org" che puntano a "xyz.org".

3. Record MX

MX è l'acronimo di mail exchange records. I record MX sono fondamentali per le funzioni di posta elettronica dei siti web. Fondamentalmente, il loro ruolo è quello di definire quali server di posta gestiscono le e-mail del dominio.

Supponiamo di gestire un negozio online. Ovviamente, avrete un indirizzo e-mail per i clienti che vi contatteranno. Potreste anche avere un indirizzo e-mail separato per i potenziali partner commerciali.

Se i vostri record MX sono configurati correttamente, non avrete problemi a ricevere le e-mail. Qualsiasi e-mail indirizzata all'indirizzo di posta elettronica del vostro dominio sarà inviata al server di posta corretto definito nel record.

Senza un record MX, queste e-mail andrebbero perse. Non le riceverete perché non saranno inviate a nessun server di posta. Se non ricevete le e-mail, non potete rispondere. Questo dà l'impressione che non siate comunicativi e lascia una cattiva impressione agli utenti del vostro sito web.

4. Record TXT

I record TXT sono record non standard che possono essere utilizzati per diverse funzioni. Possono essere utilizzati per la verifica dei siti web da parte di fornitori di servizi terzi, come motori di ricerca, server di posta, fornitori di API, ecc.

Un record TXT non ha un valore predefinito come gli altri record. Il suo valore può essere qualsiasi cosa si voglia. Finché si rispetta il limite di caratteri, si può digitare qualsiasi valore.

Per la verifica dei siti web, i suddetti fornitori di servizi di terze parti forniscono privatamente un valore prestabilito al webmaster da aggiungere al proprio record TXT. Se il valore è uguale a quello fornito dal fornitore di servizi di terze parti, significa che si tratta di un sito web corretto e non di un impostore.

Esistono anche altri modi per utilizzare i record TXT per la sicurezza, che verranno esaminati nella "Sezione Sicurezza".

5. Record NS

Il tipo di record di gran lunga più importante è il record NS. NS sta per name server. I server dei nomi si trovano in cima alla gerarchia DNS. Contengono tutti i record di dominio.

I record NS specificano quali nameserver contengono i record di un dominio. Senza un record NS, i resolver e i server DNS più bassi nella gerarchia non saprebbero quale server interrogare per ottenere informazioni su un particolare dominio.

Quindi, se i record NS non sono presenti, il vostro sito web è praticamente impossibile da trovare, il che lo rende inutile. Per questo motivo, assicuratevi che i vostri record NS siano in forma.

6. Record SRV

SRV sta per servizio. Questi record definiscono quali servizi Internet, come VoIP, e-mail e messaggistica, utilizzano quali porte.

Senza un record SRV, il traffico specifico per determinate porte viene interrotto. In genere, questo non è un problema per la maggior parte dei siti web. Tuttavia, se si utilizzano servizi Internet che utilizzano VoIP, e-mail o messaggistica istantanea, i record SRV devono essere impostati correttamente.

7. Record PTR

I record PTR sono utilizzati per le ricerche DNS inverse. PTR è l'acronimo di pointer e questo tipo di record mappa un indirizzo IP a un nome di dominio. È quindi l'opposto di un record A/AAA.

I record PTR sono necessari per il funzionamento dei siti web perché vengono utilizzati per la verifica. A volte, i siti web possono falsificare il proprio nome di dominio e inviare richieste a un server per un altro dominio. Il server può utilizzare i record PTR per verificare se l'indirizzo IP dell'impostore corrisponde a quello del dominio reale.

In caso di mancata corrispondenza, la richiesta viene rifiutata.

Record DNS che contribuiscono alla sicurezza

La sicurezza di un sito web è estremamente importante. Per saperne di più, consultate uno dei nostri articoli.

Di seguito sono riportati i record che aiutano a proteggere il vostro sito web e a prevenire vari rischi per la sicurezza, come lo spoofing e il cache poisoning.

1. Record DNSSEC

DNSSEC è l'acronimo di DNS security. Si tratta di un protocollo di sicurezza che mira a ridurre le carenze del DNS. Il DNS non è stato progettato pensando alla sicurezza. Pertanto, era estremamente facile utilizzarlo come vettore di attacco.

Con il protocollo DNSSEC sono stati introdotti due tipi di nuovi record. Questi record aiutano a proteggere il contenuto di altri record e a verificare la fonte da cui provengono.

Il protocollo DNSSEC opera sulla base della crittografia a chiave pubblica. In pratica, i record DNS vengono firmati con chiavi crittografiche per garantire che i loro dati non possano essere manomessi.

Vengono utilizzate chiavi simili per assicurarsi che anche i record provengano dalla fonte corretta.

Ciò contribuisce alla sicurezza dei siti web, aiutandovi a difendervi dagli attacchi di avvelenamento della cache. I malintenzionati possono modificare i record DNS nella cache di un resolver e reindirizzare senza problemi il traffico da un sito web a un altro.

Con il protocollo DNSSEC, potete proteggere i visitatori che cercano di raggiungere il vostro sito web da reindirizzamenti malevoli e preservare la vostra reputazione.

Vediamo come vengono implementati i record DS e DNSKEY.

2. Record DNSKEY

Il record DNSKEY contiene una chiave pubblica. Questa chiave pubblica è la coppia della chiave privata della zona. Tutti i record DNS di una zona sono firmati con la chiave privata e la chiave pubblica del record DNSKEY viene utilizzata per verificare la firma.

Se la firma non può essere verificata, significa che i dati del record sono stati modificati e che il record non è valido.

Tuttavia, rimane ancora una domanda: come si può verificare che la chiave pubblica stessa non sia stata compromessa? È qui che entrano in gioco i record DS.

3. Record DS

DS Record è l'acronimo di Delegation Signer. Si tratta di un record che delega l'autorità a un dominio. Nella gerarchia DNS, esistono divisioni amministrative note come zone. Le zone possono avere genitori o figli. Le zone genitore sono considerate autorevoli, cioè affidabili, e le loro informazioni sono attendibili.

Le zone genitore possono delegare la propria autorità alle zone figlio. Ciò avviene con l'aiuto dei record DS. I record DS contengono un hash della chiave memorizzata nel record DNSKEY.

Se l'hash del valore del record DNSKEY corrisponde all'hash del record DS, significa che la chiave è valida. Questa verifica viene fatta a tutti i livelli, cioè al genitore di una zona, al genitore del suo genitore e così via.

4. Registri SPF, DKIM e DMARC

I record TXT hanno un ruolo importante nella sicurezza. I record TXT associati alla sicurezza sono chiamati SPF, DKIM e DMARC. Sono legati alla sicurezza delle e-mail relative al vostro dominio. Impostandoli, è possibile salvaguardare la reputazione del mittente delle e-mail e migliorare la deliverability del sito web.

I ruoli di questi record sono correlati. Cominciamo con i record SPF.

5. Record SPF

SPF è l'acronimo di Sender Policy Framework. I record SPF elencano i server di posta autorizzati a inviare e-mail per conto di un dominio. Prima dell'introduzione dei record SPF, chiunque poteva inviare un'e-mail e dichiarare che proveniva da un dominio specifico. Ciò poneva il problema degli impostori che avrebbero utilizzato tali e-mail per il phishing, i reindirizzamenti dannosi e persino l'ingegneria sociale.

6. Record DKIM

DKIM è l'acronimo di Domain Keys Identified Mail. Anche questo è un tipo di record di testo. I record DKIM coprono una vulnerabilità lasciata dai record SPF. Si tratta della possibilità di falsificare un indirizzo e-mail.

Anche i record DKIM utilizzano la crittografia per garantire che un'e-mail provenga dalla fonte corretta. Il DKIM è composto da due parti: una chiave pubblica disponibile nei record DNS e un'intestazione DKIM nell'e-mail firmata con la chiave privata. I client che ricevono le e-mail devono verificare se la chiave dell'intestazione DKIM e le chiavi dei record fanno parte della stessa coppia o meno. Se lo sono, l'e-mail proviene dalla fonte corretta, se non lo sono, l'e-mail viene rifiutata.

7. Registrazioni DMARC

DKIM e SPF sono utilizzati per verificare l'origine di un'e-mail e ridurre lo spoofing. Il DMARC è utilizzato per indicare al destinatario delle e-mail cosa fare quando riceve e-mail che non superano i suddetti controlli.

DMARC è l'acronimo di Domain-Based Message Authentication Reporting and Conformance.

In sostanza, i record DMARC indicano al destinatario delle e-mail di intraprendere una o più delle seguenti azioni se un'e-mail non supera i controlli SPF e DKIM.

• Contrassegnare l'e-mail come spam.
• Lasciare passare la posta indesiderata
• Rifiutare la posta indesiderata

Inoltre, segnalano anche il dominio le cui e-mail non superano i controlli SPF e DKIM. Questo aiuta i proprietari dei domini a verificare se il loro dominio ha qualche problema e ad agire rapidamente per mantenere la loro reputazione di mittente.

Senza i record DMARC, i provider di servizi di posta elettronica decidono autonomamente se rifiutare o accettare le e-mail. Questo può avere strane conseguenze sulla reputazione del vostro dominio (e, per estensione, anche su quella del vostro sito web). Quindi, è meglio avere il controllo su questo aspetto.

Conclusione

Ora si capisce come i record DNS siano fondamentali per il funzionamento e la sicurezza dei siti web. Senza i record DNS, è impossibile localizzare i siti web. Il DNS è anche responsabile della definizione delle porte per i singoli servizi di un sito web (come la posta elettronica e il VoIP).

Con i record di sicurezza DNS, si impedisce a terzi di abusare dell'immagine del vostro sito web per danneggiarlo. Inoltre, si assicura che la reputazione di mittente di e-mail del sito web sia preservata, il che si traduce in un maggior numero di e-mail che arrivano nelle caselle di posta dei consumatori.